安装汽水音乐，然后电脑中毒了。

[Leroy666]

偶然间发现电脑网络有很多进程疯狂连接网络 C:\Windows\System32\waitfor.exe 问了一下 GPT ，他也很疑惑为什么 waitfor.exe 要反复访问多个 DoH/DNS 服务。

然后一顿排查，发现是 9.17 上午就安装上了，已经运行了三周了。

然后 9.17 上午我只是更新了一下汽水音乐啊，为什么会染毒？汽水音乐是正常登录的啊。继续排查。

原来是我使用 brave 浏览器的搜索引擎搜到的汽水音乐网站是个仿冒的站点。真是防不胜防啊。。。

09:29:31 Brave 开始从 31tejeeeaeheythftyrfh-...aliyuncs.com （随机命名的阿里云 OSS 存储桶）下载 qishui_yingyue_X64821.exe ，来源页面是 qishui-pc.com/soda-music-pv-version——你当时应该是百度搜“汽水音乐”点进了这个仿冒官网（真正的官方域名是 qishui.douyin.com ）

09:30:45–49 你运行了安装包。它是个 NSIS 捆绑壳，往 C:\Drivers\ 释放三个随机名目录（恶意载荷 + 正版安装器 + 俄语命名的诱饵文件）

09:30:50 捆绑壳启动了正版字节跳动签名的汽水音乐安装器（ installer.log 里明确记录它运行于 C:\Drivers\Algorithmknitting2616\installer.exe ）——这就是你“看到在装汽水音乐”的原因 09:30:54–55 恶意部分动手：cmd.exe 拉起 waitfor.exe 宿主进程，注册随机名服务 PLhLQTmdqrvduegXNaLFVThS 实现开机自启

09:31:04–20 正版汽水音乐 3.7.0 装完、开始首次运行——让你觉得一切正常

[docx]

银狐病毒，做了很多常见应用的冒牌版

[daliusu]

undefined 很奇怪，我用谷歌搜索第二个第三个似乎也是假的？现在还有人玩这一套啊？我试了一下 qq 音乐是正常的只有一个地址

[jy02534655]

确实奇怪，我用谷歌搜索 汽水音乐 有好多个，不知道那个是真的

[Peng0620]

我之前也是下载汽水，中了银狐，然后重装了系统

[MonkeyD1]

https://v2ex.com/t/1219466

[Leroy666]

@MonkeyD1 我刚才把旧的汽水卸载了，重新谨慎搜索，然后打开了个 qishuizh.com 的页面，下载下来解压后火狐直接报木马。。晕死。
这个页面跟官网是 1:1 复刻。
官网是 douyin.com/qishui

真是防不胜防啊。。。

[abc8678]

从某百科找官网啊

[abc8678]

我昨天搜 EV 录屏，出现各种官网。一开始没留意，直接前排网站进去。然后下载完，电脑裸奔状态差点误打开了。拷到虚拟机，打开某视频，打算在里面录。然后 defender 报毒才察觉。前段时间中了破解版 sqlyog 的毒，差点又中招了

[46fo]

火绒直接拦了这个网站

[Leroy666]

@abc8678 #7 没，是用的 brave 浏览器的搜索功能

[Leroy666]

@46fo #9 是吗？我的火绒也一直开着呀也没见有反应。我用的是 Brave 浏览器

[hoky]

v2 的难道不都是程序员吗？怎么下载软件不去官网？

[goodryb]

你都安装了，更新为啥不用软件自带的更新功能
另外你搜索真是一点都不看域名吗，qishuizh.com 哪个大厂会用这种四不像的域名

[kkwa56188]

听歌软件吗, 虚拟机伺候就可以了

[liuzimin]

现在下载软件第一件事不都是要扔 virustotal 上验一下吗。

[Fish1024]

[goojia]

现在下软件都用火绒的应用商店了