搜“VPN 下载”点进去的第一个链接，真的是官网吗？微软威胁情报团队披露，一个自 2025 年 5 月起活跃的组织 Storm-2561，正在用搜索引擎投毒的办法，把想找企业 VPN 客户端的人引到假网站，装上窃密木马。结论先说：VPN 客户端只从官网或官方应用商店下载，别信搜索结果里的陌生域名。
攻击是怎么进行的
- 搜索投毒：用户搜索“Pulse VPN download”等词时，恶意网站排到前面。微软观察到该组织仿冒了 Fortinet、Ivanti、Sophos 等品牌。
- 假官网：页面外观几乎和真的一样，点击下载后跳转到 GitHub 上托管的恶意 ZIP 文件。微软提到的两个域名是 ivanti-vpn[.]org 和 vpn-fortinet[.]com。
- 带签名的安装包：ZIP 里是 MSI 安装程序，带有数字签名，能绕过一部分 Windows 警告，让人更放心。
- 窃密：安装后释放 inspector.dll 和 dwmapi.dll，前者是 Hyrax 窃密程序的变种，专门盯 VPN 凭据和配置数据。
最阴的一步：假装安装失败
用户在假客户端里输入账号密码后，程序会弹出一个“安装失败”的提示，并引导用户去官方渠道下载真正的客户端，有的还会直接打开真官网。用户装上真的后一切正常，自然以为刚才只是技术故障。微软 Defender 专家也认为，用户“很可能把最初的失败归咎于技术问题，而不是恶意软件”。此外，木马会通过 RunOnce 注册表项实现重启后继续运行。
怎么防
- VPN 或代理客户端，只从官网、官方 GitHub 仓库或 App Store、Google Play 等官方渠道下载。
- 安装失败后不要立刻重输凭据；如果刚在可疑页面输入过，尽快修改密码。
- 开启多因素认证（MFA）。
- 企业用户可启用 Defender 云防护、网络保护、SmartScreen，以及微软建议的攻击面减少规则。
类似的仿冒手法也出现在其他 VPN 品牌上，可参考：假冒 Mullvad 下载站用无文件恶意软件攻击 Windows 用户。
常见问题（FAQ）
我只用个人机场，会遇到吗？这次的仿冒对象主要是企业 VPN，但同样的搜索投毒手法对任何客户端都可能被复制，下载来源是关键。
怎么判断下载站是真的？核对域名，优先从官方文档或应用商店页面里的链接进入，不要只看搜索排名。
参考来源
本文综合整理自微软威胁情报（Microsoft Threat Intelligence）对 Storm-2561 的披露及相关媒体报道。