据 Privacy Savvy 报道，一名安全研究人员在 X 上披露了一起针对搜索 Mullvad VPN 的用户的诈骗：攻击者使用形似官方的域名搭建假下载站，诱导用户下载并运行一个带有数字签名的 PowerShell 脚本，脚本在内存中运行，属于“无文件”攻击。需要说明的是，我没有找到独立的第二来源来确认这些域名和样本的细节，以下信息均为转述该报道，请以安全厂商的正式通报为准。
据报道的攻击方式
- 伪造域名：报道称涉及的域名包括 mullad-vpn[.]us[.]org，会跳转到 mullvad-download[.]org，两者均冒充 Mullvad。请注意 Mullvad 的唯一官方域名是 mullvad.net。
- 诱导下载：受害者通过搜索引擎、广告或被操纵的结果找到假站，点击下载后，得到的不是安装包，而是一个 PowerShell 脚本。
- 带签名的脚本：据称该脚本带有一家名为 Xiamen Quanlian Information Technology Co., Ltd. 的公司的数字签名，因此 Windows 不会直接拦截。
- 无文件运行：脚本直接在内存中执行，不在磁盘上留下传统意义上的恶意文件，因而更难被安全软件检测。报道称其后果可能包括安装更多恶意程序、窃取密码、留下后门并被远程控制。
为什么“有数字签名”并不等于安全
数字签名只能说明文件被某个证书持有者签过名，并不能证明签名者就是你要下载的那家公司。攻击者可以使用自己的、窃取的或租用的证书。因此，除了看 Windows 是否提示“已签名”，更要核对签名者名称是否与软件厂商一致。
如何安全地获取 VPN 软件
- 直接输入官网地址：Mullvad 的官方域名是 mullvad.net，不要通过搜索广告或不明链接进入下载页面。
- 下载的应该是安装程序，而不是脚本：如果“下载按钮”给你的是 .ps1 等脚本文件，立刻停止。
- 验证发布签名：Mullvad 为其发布的软件提供 PGP 签名，有能力的用户可以自行验证。
- Android 用户：保持 Google Play Protect 开启。VPN 应用只需要网络权限，如果它索要通讯录或短信权限，应当立即卸载。
如果你已运行过可疑脚本，应先断开设备网络，使用可信的安全工具全面检查，并更换可能暴露的密码，必要时重装系统。真正的 Mullvad 以开源和独立安全审计著称，2023 年瑞典警方曾持搜查令前往其公司，据报道并未获得客户数据，但这不代表任何冒用其名字的下载站可信。关于购买前如何核查服务、客户端该从哪里下载，也可参考机场节点选择标准与避坑清单。
类似的“假 VPN”手法也出现在针对 IT 从业者的攻击中，见：假面试真木马：Sandworm 关联组织用恶意 “SopraVPN” 攻击 IT 从业者；另一类 iPhone 上的 VPN 风险见：iPhone 用户注意：iOS 26.4.2 下更新 VPN 应用时仍会泄露真实 IP。