11月9日，独立开发者Evan发了条视频：有人把他做的C盘清理工具LightC二次打包，套上第三方安装器，要求用户输手机号激活，收69元。可LightC个人使用永久免费、无广告，压根没有"付费激活"这回事。它是款基于Rust和Tauri打造的开源免费轻量清理工具。哔哩哔哩小红书
这还不是第一次。9月他就发现过一个"假官网"，不光冒用名字，连开源授权协议都被人改了。评论区有人贴出假站地址，页面像模像样，右上角还挂着"投诉举报"入口。哔哩哔哩
你可能觉得这是个例。真不是。
国家计算机病毒应急处理中心9月30日的月度研判写得很直白："银狐"木马攻击活动持续活跃，伪装成软件安装包的情况进一步增加。它常穿三件马甲：账单报表类工作文件、仿冒作业帮这类学习App、仿冒驱动管理等热门装机工具。安御保密
手法也在升级。CNCERT和天融信9月29日的联合报告点了个叫"甲蚁（G01）"的团伙：靠SEO投毒加关键词竞价引流，用AI批量复刻高仿真软件下载站。天融信
报告核验的仿冒域名有1060个、单日注册峰值110个；9月15日到22日这一周，该团伙控制的境内"肉鸡"达8708个、单日上线峰值2361个。早期它们仿冒Chrome、WPS、Telegram，现在盯上了FinalShell、Xshell这些运维工具——用它们的人手里多半握着服务器权限，一台顶十台。天融信
更别扭的是，AI还会骗AI。火绒安全9月1日的报告说，银狐团伙伪造DeepSeek官网的钓鱼页面伪装度极高，经常被AI智能体当成官方网站写进回答。而截至8月31日，DeepSeek官方只上线了手机App，PC端从没发布过exe客户端。不少人默认"这么大的产品总该有电脑版"，让AI去下、去装，一步踩空。火绒安全
那老经验还管用吗？挨个说：
看域名后缀——不好使。这伙人专挑需要强实名的.com.cn、.cn后缀，让域名看着像正规单位；83.5%的仿冒域名还统一以字母a开头。天融信
对哈希值——也不好使。同一个入口反复下载，文件名一样，哈希值每次都变，服务端按次打包，专门躲特征检测。
看数字签名——同样靠不住。被查出的样本带着第三方签名，却和文件实际摘要对不上，属于伪造。签名只能验证签署身份、以及内容有没有在签署后被改过，不能证明软件没有漏洞或恶意功能。GlobalSign数字证书
能做的其实就三步，一分钱不花。
一、别从搜索结果直接下。 排在前面的先看有没有"广告""推广"字样，再回到官方公布的渠道去拿。开源软件优先GitHub的Releases页，那是作者自己传的地方。天融信安御保密
二、分清下载器和安装包。 页面上那个硕大的"高速下载"按钮，给你的往往不是软件本体，而是一个下载器，装完还附赠几个浏览器和助手。拿到安装包先掂一下体积对不对得上——几百KB的"Photoshop"，肯定不是真的。我爱装软件
三、装之前核一次身份。 Windows上右键属性看数字签名，核对发布者是不是你认的那家。很多独立开发软件确实没签名（LightC作者就聊过签名成本和杀软误报的难处），那就退回第一步：只认官方渠道。拿不准的文件丢VirusTotal，或传国家计算机病毒协同分析平台virus.cverc.org.cn做二次核验。火绒安全安御保密
再加一条：让AI帮你找软件、下软件时，尽量限制它的网络下载权限——这是火绒的原话建议。
说回LightC，这软件是件好事：体积几MB，永久免费、0广告；10月底新增AI Agent缓存清理模块，深度扫描速度最高提升约13倍。有用户在评论区说，清完C盘多出6个多G。哔哩哔哩
免费的好东西越来越多，盯着它们的人也越来越多。下次点"下载"之前，多花三秒想清楚：这笔钱是给作者的，还是给二道贩子的。
