黑客正在建立冒充热门 Windows 应用程序的网站来传播恶意软件

原创

网络安全9527
网络安全9527

安全圈的那点事儿

2026年7月27日 18:25
北京

在小说阅读器读本章

去阅读

黑客们悄悄地构建与热门 Windows 应用程序外观相似的网站，然后利用这些页面向毫无戒心的用户推送恶意软件。

该骗局已涵盖70多种用户信赖并每日下载的知名实用程序。看似有用的下载页面，一旦流量激增，攻击者便会将其替换为恶意文件，从而变成陷阱。

这些虚假网站会复制应用名称、旧版Logo和友好的用户指南，以提高搜索排名，营造出官方形象。许多网站一开始会引导访客访问真实的商店链接，以此降低用户的怀疑，同时吸引访客。

Wintoys 开发者 Bogdan\_X 在查看最近的搜索结果以获取反馈和用户问题时，发现了一个自己应用程序的克隆版本，并识别或注意到了该恶意软件。

Bogdan\_X 在一份与网络安全新闻 (CSN) 分享的报告中表示，一个匿名联系电子邮件将数十个这样的域名联系在一起。

同样的模式已经导致其他Windows工具通过类似但独立的网站遭受实际感染。用户如果误入错误页面，将面临远程访问工具、恶意带宽软件以及系统永久性安全风险。

黑客正在建立冒充热门 Windows 应用程序的网站

攻击者注册与 PowerToys、WinUtil、EasyBCD、CrystalDiskMark 和 Wintoys 等名称非常相似的域名，然后用通用的博客风格内容填充页面。

这些网站通常运行在常见的平台上，并带有简短的免责声明，声称自己是独立指南，即便它们重复使用了原项目的品牌标识。搜索引擎仍然能够将这些页面显示在热门应用搜索结果的顶部附近。

安全研究人员描述的一项相关攻击活动遵循清晰的三步流程。首先，攻击者利用品牌相关的关键词吸引流量。然后，他们伪装成无害用户，提供用户真正想要下载的内容。

当访问量达到一定程度后，他们 会将可信的下载链接替换 为恶意软件。Check Point 对类似基础设施的研究发现，流量定向脚本出现较晚，滥用行为从 2026 年初开始加剧。

至少有两个不属于此特定域的 Windows 应用程序已经遭受过攻击。其中一个伪装成 Lively Wallpaper 的应用程序运行了一个木马安装程序，该程序会释放一个持久的 ScreenConnect 远程访问服务以及带宽共享软件。

SignalRGB 的维护者也曾警告称 signalrgb.io 向其社区散布恶意软件。这些案例表明，  一旦赢得信任，武器化的远程访问工具就能巧妙地融入到同样的攻击策略中。

Bogdan\_X 报告了该集群事件后，第一家域名注册商立即敦促运营商迁移域名组合。几周之内，所有域名都转移到了新的注册商处，网站得以继续运行。

服务器通常位于大型代理网络之后，这会增加内容加载的延迟。未完成的克隆页面仍然会出现，这表明未来可能还会有更多应用受到影响。

用户如何才能保持安全

日常谨慎仍然可以有效抵御大部分此类威胁。请仅从官方项目页面、供应商商店或已知的 GitHub 发布版本下载安装程序，即使第三方镜像网站看起来很完善，也务必谨慎对待。

如果您依赖任何被冒充的应用，请告知开发者，以便他们警告用户并采取下架措施。

请向域名注册商和主机提供商举报滥用行为，并标记不良搜索结果，以减少点击量。社区屏蔽列表已经开始添加许多此类域名，这有助于使用现代 DNS 过滤器的用户。

类似的虚假安全产品网站浪潮  证明，滥用品牌仍然是恶意软件团伙最常用的手段之一。

密切关注域名拼写的细微变化，以及那些未经明确授权而重复使用旧徽标的页面。官方商店和签名软件包仍然是获取 Windows 实用程序最安全的途径。

在用户社区内分享明确的警告可以缩短攻击者所需的攻击时间，就像过去一些案例中， 虚假生产力应用程序下载 欺骗了好奇的用户一样。

廉价域名和重复使用的模板可能会同时威胁到数十种值得信赖的工具。开发者如果密切关注应用名称的搜索结果，就能及早发现克隆应用。用户如果验证应用的真实来源，无需深厚的技术知识就能确保电脑安全。