双11下单的主机陆续到货了。点亮、跑分、拍张海景房发群里，这套流程大家都熟。
但有人第一次点开浏览器就愣住了：主页是个没见过的导航站，新标签页里多了个叫"We2新标签页"的扩展。他没装过这东西，装机那天也没点过任何"下一步"。
11月12日，火绒安全实验室把这事查到底了。
篡改不是从你装软件开始的
按火绒的溯源，源头不是用户自己装的任何软件，而是装机环节用的"系统总裁"SC封装工具——给装机商批量封装 Windows 用的。装机商拿它做出来的镜像里，就内置了浏览器配置篡改逻辑：系统部署完成、进入桌面那一刻，模块自动执行，静默改掉首页和新标签页。翻译一下：你还没开始用这台电脑，它已经动过你的浏览器了。火绒安全
为什么你自己改不回来
浏览器本身有防篡改校验，Chrome、Edge 会给配置文件算校验值，谁偷偷改了它能发现。火绒分析里最狠的一步就在这儿：模块先取机器指纹——本机 SID 加系统盘卷序列号——再用 HMAC-SHA256 把校验值重算一遍写回去，浏览器一验，对得上，以为是"自己人"改的。
Chrome、Edge、360、QQ、搜狗、夸克等十款主流浏览器都在名单里，而且校验值被重算过，防篡改机制等于白设。那种"改回来了，过两天又变回去"的循环，不是玄学。火绒安全
三个更麻烦的点
一，躲不开勾选：附加组件一个不勾，普通封装照样释放劫持组件，且不提供关闭或卸载选项。火绒安全
二，换渠道没用：第三方下载站的旧版本更新后，主程序和官网样本完全一致。
三，不是新事：2021年就有公开反馈，工具迭代了好几轮，行为一直没收敛。
还有个矛盾点：官网赞助页写着"免费共享不捆绑不流氓"，把"设置主页"列为三种赞助方式之二——本该自愿的事，在普通封装里成了默认动作。只有"防流氓/大客户封装方式"的产物没有篡改行为。
不止这一家
只凭一份报告说整个装机行业都这样，不严谨，但旁证不少。
知乎作者奕帆雨顺9月实测37款一键重装软件，全走免费通道：装完自带10个预装软件，其他工具基本在10到19个之间，多数是浏览器类。近七成工具装完直接丢显卡驱动，分辨率最高只能拉到1152×864。知乎
他还拆了安装包，所谓"原版镜像"的猫腻藏在第二个压缩包的自动应答文件里，两段式触发：安装中途跑一个，刚进桌面再跑一个。第二阶段满屏装软件窗口，任务管理器都调不出来。知乎
求助帖也是真的：11月11日有人在知乎说 Edge 主页被劫持、各种办法都试了不行，愿意有偿找人远程解决。10月还有人所有浏览器的所有标签页都被改成同一个导航站，已经不是"主页被改"那么简单，而是系统层被植入了劫持程序。知乎
现在该做什么
正准备装机的：让商家用微软官网镜像装（microsoft.com 的"下载 Windows"页，或用它给的媒体创建工具做U盘），或者自己回家重装。品牌整机出厂系统一般是厂商自己的镜像，预装以自家驱动和保修工具为主，跟装机店不是一个风险画像。知乎
已经装完的，花五分钟体检：
浏览器扩展列表里，有没有你不认识的东西；
设置里的主页和新标签页，是不是你选的；
右键浏览器图标 → 属性 → 目标，exe 路径后面有没有被加上 `–homepage=“…”`；
任务管理器看启动项，Win+R 打开 `taskschd.msc` 看计划任务和注册表 Run 项（动手前先备份）；
控制面板 → 程序和功能，按安装时间排序，卸掉装机那天多出来的软件。
还搞不定就全盘查杀加浏览器"重置设置"，劫持期间被塞进来的插件基本都留不得。火绒的浏览器保护走的是事前拦截，主页压根没被改过，就不用操心怎么改回来。知乎华军软件园火绒安全
最后
这份报告针对的是一款具体工具的具体行为，没有公开数据能算出受影响的整机有多少台。但"装机环节是主页劫持的高发入口"，安全厂商的溯源、第三方实测、用户求助帖，指向一致。
装机单上每块硬件你都比了三家价，最后一栏"装系统"写着免费。
免费的那一栏，往往才是最贵的。
