蹲到的免费神器先别装：这个月三类下载坑，一个比一个隐蔽
“发现一个神器，先塞进电脑再说”——这是软件圈最日常的下意识动作。但这个十一月，软件圈端上了一锅"三鲜"：网盘安装包、假开源仓库、官网下载投毒。你蹲来的可能是软件，也可能是别人的盲盒。
坑一：你拿到手的"分发"，和"源头"没关系
B站那个开源AI虚拟伙伴ProjectAIRI，GitHub上是实打实的5.09万星，但UP主把安装包塞进了夸克网盘链接。有用户一句话点破：装在别人给的安装包里的，不叫伙伴，叫风险。。要装，直接去官方仓库。哔哩哔哩
再看跳广告神器GKD："关注+三连+私信领口令"三件套换安装包。评论区整版整版的"关注了"报到——工具是真的，但你拿到的那个apk从哪编译的，没人知道。哔哩哔哩
记住一条铁律：下载路径离官方发布页越远，软件越好也越要打折。
坑二：GitHub上的"李鬼"仓库
火绒安全10月曝了个典型案例：仿冒仓库PhotocraftAdobe/PhotoCraft-Photoshop，打着"免费开源版PS"的旗号发v0.5.0便携压缩包。火绒安全
这个安装包一进门就干三件事：先尝试把自己写进Windows Defender排除项，再偷Steam账号和Exodus、Electrum、Ledger Live、Trezor Suite四大加密钱包的数据目录，顺手监听剪贴板把你复制的收款地址换成黑产的，最后注册计划任务UpdateHost_1117帮你挖门罗币。火绒安全
受害有多具体？样本连仿冒钱包页都做好了，就等用户亲手把助记词填进去。
火绒给出的正版四看：Star数、创建时间、历史提交、开发者主页。这个仿冒仓库四条全垮——作者主页仅一次提交、头像疑似AI生成。火绒安全
坑三：官网都不能全信了
微步在线10月底发现，至少7个网站遭供应链投毒，有企业用户直接从"客服宝"官网下载安装包就中了远控木马。而投毒后的下载链接和原本的一模一样。国家计算机病毒应急处理中心则点名"银狐"：它正批量伪装成各类软件安装包和"裁员补偿""违纪名单"这类职场文档传播。10月光明网报道的"人社补贴通知"陷阱更直白——点开文档，弹出来的是仿冒官方页面的银行卡密码验证框。你以为是办正事，它要的是你的卡。微步在线安御保密光明网新浪微博光明网
四步体检，装前照着做
只认源头：GitHub只装官方Release，iOS只走App Store；见"网盘自取""私信口令"先警觉。
查仓库底细：看创建时间、提交曲线、作者活跃度，新仓库+爆款话术+一次性提交=快跑。
校SHA-256：Windows里跑`Get-FileHash -Algorithm SHA256 文件路径`，和发布页公布的一致再装，差一位都别碰。
首跑留个心眼：可疑文件先到国家计算机病毒应急处理中心平台virus.cverc.org.cn检测。出现卡顿、诡异弹窗、文件被加密，立刻断网排查。安御保密
软件免费是好事，但过了这四步，免费的神器才算真的免费。
