在网上搜“Pulse VPN 下载”，排在最前面的就一定是官网吗？微软最近披露的一起攻击提醒我们：未必。
简单讲：微软威胁情报团队追踪到一个名为 Storm-2561 的组织，自 2025 年 5 月起活跃，擅长操纵搜索排名、冒充软件。他们做假的企业 VPN 下载页，让搜索“Pulse VPN 下载”“Pulse Secure 客户端”这类关键词的用户点进去，装上的却是窃取 VPN 账号的木马。防范的核心很简单：只从官方渠道下载 VPN 客户端，企业开启多因素认证并启用 Defender 的相关防护。
黑客怎么用搜索结果投放木马
Storm-2561 靠操纵搜索引擎算法，让恶意网站排到结果前列。微软观察到，该组织仿冒了多个 VPN 品牌，包括 Fortinet、Ivanti 和 Sophos。
这些假站点看上去非常像真的，照搬了正规厂商的品牌和版式。访问者点击下载按钮后，会被转到托管着恶意 ZIP 文件的 GitHub 仓库。微软指出了此次行动中的两个主要域名：ivanti-vpn[.]org 和 vpn-fortinet[.]com。
ZIP 里是个 MSI 安装程序，看上去像正版 VPN 客户端。安装包的数字签名显示为“Taiyuan Lihua Near Information Technology Co., Ltd.”，这个签名能让恶意软件绕过 Windows 的安全警告，也让用户对安装过程更放心。
安装时，它会在 %CommonFiles%\Pulse Secure 下建立和正版 Pulse Secure 极其相似的目录结构，并在主程序之外放入两个可疑的 DLL 文件：inspector.dll 和 dwmapi.dll。其中 dwmapi.dll 相当于加载器，会运行 shellcode 来启动 inspector.dll，后者是 Hyrax 信息窃取器的变种，专门盯着 VPN 凭据和配置数据。
假客户端怎么偷数据
这个恶意应用带着一个和正规 VPN 客户端几乎一样的主页。对用户来说，这就是个普通登录页，会照常输入账号密码，以为是要连公司网络。
实际上，应用会把您输入的内容全部截获。Hyrax 会从 C:\ProgramData\Pulse Secure\ConnectionStore\connectionstore.dat 里翻出保存的 VPN 配置数据，再把窃取到的凭据和配置文件发到攻击者控制的服务器 194.76.226[.]93:8080。
拿到凭据之后，假客户端会弹出一个很像样的“安装失败”提示，并让您去官方渠道下载正版 VPN 客户端，有些情况下还会直接帮您打开真正的 VPN 官网。
这招很高明：用户会以为只是技术故障，而不是恶意软件。装上正版软件后一切正常，也就看不出已经中招。微软 Defender 专家也说，用户“很可能把最初的安装失败归结为技术问题，而不是恶意软件”。
此外，恶意软件会通过 Windows 的 RunOnce 注册表项建立持久化，确保设备重启后 Pulse.exe 再次运行。就算您后来装了正版软件，如果那个 VPN 本身存在未修补的漏洞，也仍然可能被攻击者当作勒索软件的主要入口。
怎么防（个人和企业各 4 点）
| 对象 | 建议 |
|---|---|
| 个人和员工 | 只从厂商官网或公司 IT 提供的渠道下载 VPN 客户端；不要点搜索结果里的“下载”广告；安装前核对域名；发现“安装失败”后跳转的情况，要立刻改密码并通知 IT |
| 企业 | 在 Microsoft Defender 杀毒中启用云提供的保护，用机器学习拦截快速变化的攻击工具；用端点检测与响应（EDR）和 Defender for Endpoint 的网络保护、Web 保护；推荐员工使用带 SmartScreen 的浏览器；对所有账号、所有设备和位置强制启用多因素认证 |
| 攻击面缩减规则 | 微软客户可启用“阻止可执行文件运行，除非满足流行度、年限或受信任列表条件”这条规则，专门针对此类攻击 |
| 凭据管理 | 提醒员工不要把工作凭据存进个人密码库或浏览器 |
Storm-2561 的行动说明，网络犯罪分子总在想办法利用我们信任的东西，比如搜索引擎、数字签名和品牌名称。所以如今比任何时候都更要谨慎，下载软件前先弄清楚来源。
常见问题（FAQ）
怎么判断下载页是不是假的？
核对域名是否为厂商官方域名，不要点搜索结果顶部的广告；有疑问就通过公司 IT 或厂商官网的导航进入下载页。
我装了又弹出“安装失败”怎么办？
先别当成普通故障。建议立刻断开网络，修改相关账号密码，并通知公司 IT 做排查。
签名有效就一定安全吗？
不一定。这次的恶意安装包就带着数字签名，签名只能说明“有人签了”，不能证明来源可信。
多因素认证真的有用吗？
有用。即使密码被偷，攻击者没有第二因素也很难直接登录，微软建议对所有账号强制启用。
个人用户需要做什么？
只用官方渠道的客户端，保持系统和杀毒软件更新，开启浏览器的安全浏览功能，别在浏览器里保存公司账号密码。