- faketemp2026-09-03
经过：本想录个 Omarchy 视频分享，想随便找个开源屏幕录制程序让国产 AI 推荐一个👉 https://captura-zh.com.cn/ （警告：钓鱼网站无护甲不要打开！不要打开！）官网看着挺正常，也从来没想过谁嚣张到能把病毒木马直接裸挂网站上，下载双击一下安装程序发现桌面没有程序图标——顿时一惊已经意识到中招了
结果所料，任务管理器查看多出几个 aB8pIM.exe/gubT4QNB.exe 一眼就是病毒的进程，查杀自动重启，尝试安装火绒发现驱动安装报错，强制安装完整个火绒目录竟然被删除了——火绒没装完就直接阵亡了； Windows Defender 无法打开；尝试下载 360 发现 https://www.360.cn 无法连接，去修改 hosts 发现没有权限……
处理：让 Opencode 分析查杀一遍后安装 360 应急，打开提示“你的组织使用适用于企业的应用控制阻止程序运行”，360 也阵亡了——让 AI 继续分析解除 WDAC （ Windows Defender Application Control ）的"验证和信誉"策略（强制模式）阻断，重启终于装了火绒，全盘扫描终于暂告一段落
有想练手的可以去看看，也不知道怎么举报投诉钓鱼网站
病毒家族特征：
伪装：计划任务伪装成"Microsoft Edge 更新任务"，注册表项伪装成"Tencent/Alibaba SecurityHealth"
多进程互拉：3GHwSl 作为看门狗进程，通过计划任务自动重启，并重建被删除的注册表项和 hosts 劫持文件保护：病毒文件设置 Hidden+System 属性，并对 Users 组添加 DENY 删除权限的 ACL
阻断安全软件：修改 hosts 阻断 360 等安全网站，关闭 Windows Defender 服务，篡改 Windows 代码完整性策略文件 C:\Windows\System32\CodeIntegrity\SiPolicy.p7b ，通过 WDAC （ Windows Defender Application Control ）的"验证和信誉"策略（强制模式）阻止火绒、360 等安全软件运行。
主楼 - BeforeTooLate2026-09-03
看到免费开源想去看看评论，找了半天没有 github ，哈哈。
想看看域名备案，发现没有备案，哈哈。 - HENQIGUAI2026-09-03
这种一看就是 claude code 撸出来的新网站，本身就需要保持警惕，另外，这么多成熟的录屏软件你是一个都不看啊，专挑这种完全不知名的，甚至你用 Win + Shift + R 系统自带都不说你什么，或者 ShareX 、OBS 、Camtasia 都可以，甚至 QQ 好像也可以
- faketemp2026-09-03
@HENQIGUAI 教训的是 不经常用偶尔用下想偷个懒 结果就……🤡
- ggabc2026-09-03
我一打开火绒就弹窗了
- dko2026-09-03
有啊，银狐一直都在
- Meursau1T2026-09-03
Windows Defender 是被病毒关掉了还是原本没开，这个流程看着太吓人了
- evanchang2026-09-03
是的，现在 AI 投毒很严重
- jadehare2026-09-03
可以再装个 360 杀毒再扫一遍看，之前电脑被挖矿了，火绒查不出来，360 直接搞定了。扫完没问题再卸了就行。
- lifengzhong2026-09-03
银狐
- idou2026-09-03
详情里的地址太完整了 可以直接点一下就打开了 差点就打开了
- BruceXu2026-09-03
- sexyback2026-09-03
我的火绒提示了，可能是这两个小时内有人举报了吧
- faketemp2026-09-03
- BruceXu2026-09-03
- woshishui20222026-09-03
你好，我是黑客，我已经拿到你全部的浏览器记录了
- akorn2026-09-03
别说 win 了。上个月 Mac 还中招一次。从网上找一个老 APP ，找到个冷面网站，估计被挂马了。网站一打开，弹出个机器人验证窗口，类似 Cloudflare 那种。正常 Cloudflare 的验证，不是一个 check box 点一下，或者几张照片选一选。它的不太一样。还是仿 Cloudflare 的弹窗，一个 check box ，不过还让把一条命令贴到控制台，执行一下。不执行的话，框框点不上。我脑子抽筋得想都没想就执行了。然后验证窗口就通过了。没一会儿，Mac 弹出一个让输入密码的系统框。我就知道完蛋了。给装了一堆守护进程。当时就把网线重装电脑了。
yulgang2026-09-03- GyroZeppeli132026-09-03
ai 时代脚本小子的能力也核弹爆炸了，这种事情以后应该会更多吧。
- faketemp2026-09-03
- KinBob2026-09-03
现在 ai 投毒怎么做的很好奇，拿 baidu 直接搜索开源屏幕录制程序都没有你发的这个呀
- sexyback2026-09-03
没点开我就知道中的毒是什么了，我上个月想着下载一个耳机驱动，因为奥创有国外版也有国内版，我想着用百度搜一下官网下载好了，结果没看清楚进了假网站，下载出来是一个压缩包，点开之后没任何反应，我当时着急玩儿游戏就没想那么多了，结果游戏突然特别卡，我一看任务管理器好家伙 cpu 占用率 99%，其中一个不知名的乱码进程给吃完了 cpu ，我着急玩儿所以当时大概记了一下进程名字就给他强行杀掉了，过了一会又开始卡了，但是死活也搜不到这个进程是什么应用唤起的，后来去 b 站搜了几个视频发现这个是银狐病毒，它可以给 hosts 改掉不让你下载 360 ，即使下载了 360 也打不开，后来我改了 360 的文件夹名字之后终于启动了给病毒杀掉了。火绒也同理，一样打不开，后来杀完病毒我给 360 删掉，下载了一个火绒（主要感觉 360 太臃肿了，火绒简单一点），留一个杀毒软件防身吧
- ggmood2026-09-03
直接重装吧，不要浪费时间可能还清理不干净
- dandel1on2026-09-03
- dcsuibian2026-09-03
点开一看火绒立马报警哈哈
- zgsi2026-09-03
上个月用 Microsoft-Activation-Scripts 激活 win11 专业版
竟然也中毒了 被安装了挖矿程序
电脑没装火绒
