搜索“Mullvad VPN”点进去下载，结果装上了木马？安全研究人员最近发现一个假冒 Mullvad VPN 的诈骗网站：页面几乎和官网一模一样，点击下载拿到的却是一个 PowerShell 脚本，还带着让 Windows 放行的数字签名。这件事来自 X（推特）上一位安全研究员的披露，以下内容据报道整理。
攻击是怎么进行的
据报道，骗局使用的域名是“mullad-vpn[.]us[.]org”，访问后会跳转到“mullvad-download[.]org”，两个站点都假装提供真正的 Mullvad VPN（一家总部在瑞典的知名隐私服务）。用户通过搜索引擎找到 Mullvad，点到了假冒的、赞助的或被操纵的搜索结果，就会进入这个外观与官网相同的假站。
| 环节 | 报道里的情况 |
|---|---|
| 入口 | 搜索结果、赞助广告或被操纵的结果 |
| 下载内容 | PowerShell 脚本，而非正常的安装程序 |
| 数字签名 | 脚本带有 Xiamen Quanlian Information Technology Co., Ltd. 的数字签名，所以 Windows 会信任、不拦截 |
| 运行方式 | 直接在内存中运行，即“无文件”恶意软件，传统杀毒软件很难发现 |
| 后果 | 可能安装更多恶意程序、窃取密码，并留下后门让攻击者远程控制电脑 |
报道给出的样本哈希为：a4b6e81233ca2b8a4c6ace3da6344a7e0a8df92ee06c4763c7b18001c169b133，想自查的朋友可以用它去核对。
假 VPN 的风险在变大
据原文，去年 11 月谷歌就警告过假 VPN 应用和扩展的威胁：不法分子会在各应用商店和其他平台分发冒牌 VPN，有的模仿正规品牌，有的用误导性的“促销”手法，或借热点新闻做营销。一旦下载，可能被植入信息窃取程序、远程控制工具和银行木马，攻击者就可能看到您的浏览历史、私人消息、银行卡等财务信息和加密货币钱包信息。谷歌还提醒，不少免费 VPN 会追踪用户或刷评论。
类似的案例站内也写过，比如微软警告 Storm-2561 假 VPN 安装包盗号和假 VPN 扩展窃取剪贴板：Chrome、Firefox 怎么自查。
怎么防：6 条自查要点
- 只从官网下载。Mullvad 唯一的官方域名是 mullvad.net，官方 GitHub 页面也提供签名的安装包。
- 别点搜索广告。骗子会花钱把假站放到搜索结果前面，最好直接输入官方网址，或用收藏夹。
- 数字签名要核对签名人。Windows 显示“已签名”不等于签名者就是那家公司，要看签名主体是否一致。
- 拒绝 PowerShell 脚本。正规 VPN 的下载通常是安装包，让您手动运行一段脚本的，先停下来。
- 安卓开启 Google Play Protect。侧载应用时尤其要打开，应用要求读取通讯录或短信的，立刻卸载。VPN 只需要网络权限，不需要您的联系人。
- 下载 GitHub 上的工具前先验证。原文提到，有人用假漏洞利用程序向研究人员投放 WebRAT 恶意软件，运行代码前要核实仓库真伪并检查签名。
为什么骗子偏偏选 Mullvad
据原文，正版 Mullvad 的隐私记录很强：几年前瑞典警方上门查扣，结果没有找到用户数据，印证了其不留日志的承诺；Mullvad 还公开源代码并持续接受独立安全审计。骗子正是想借它的好口碑行骗，所以越是口碑好的服务，越要核实下载来源。相关事件可以看站内的瑞典警方查扣 Mullvad 服务器，为什么没找到用户数据。
常见问题（FAQ）
已经下载了怎么办？
先断网，再用可信的杀毒软件全盘扫描，并尽快更换重要账号的密码，必要时重装系统。无文件恶意软件不容易被发现，不要因为“没报毒”就放心。
带数字签名的文件一定安全吗？
不一定。签名只能说明文件被某个主体签过名，不能保证签名者就是软件的官方发行方。
怎么确认官网地址？
Mullvad 的官方域名是 mullvad.net；其他服务请从其官方社交账号、应用商店页面或可信媒体报道交叉核对。
总结
下载 VPN 这类敏感软件，来源比品牌更重要：只认官网域名，不点搜索广告，不运行来路不明的脚本，留意签名主体。请遵守所在地的法律法规，本文只做安全科普，不构成法律意见。