最近要下载或重装 ToDesk 的朋友，先别急着在搜索引擎里点第一条结果。你打开的可能不是官网，而是"银狐"木马团伙搭的假官网。
这不是吓唬人。8月18日，安全博主"凌曦安全"在B站发布应急响应拆解：最新银狐后门正在伪装 ToDesk 官网投毒。哔哩哔哩更早之前，小红书有网友晒出自己下载"小红书直播助手"时的中招经历。小红书假官网页面和真官网几乎一模一样，连下载按钮都分不出差别，只有地址栏里的域名不对。
免费版缩水，正在把你推向搜索框
为什么现在要特别提醒 ToDesk 用户？因为免费版权益一直在收缩。官方公告调整后，免费用户每月远控时长从 120 小时降到 80 小时，连接次数从 300 次减到 200 次。知乎不少人还遇到过连接时提示"免费中转节点繁忙"、被引导升级 VIP 的情况。小红书
时长变少、节点变挤、提示升级，很多人的第一反应是重装、换版本，或者干脆搜一下有没有别的下载渠道。这类"带着下载意图的搜索"，正是银狐最喜欢的入口——搜索引擎广告投毒早已被安全研究者实锤：在搜索引擎里搜常用软件，排在第一个的下载站就可能是银狐的恶意软件分发站。知乎点进去再点"官方下载"，拿到的是带毒安装包。
被仿冒的不止 ToDesk，名单比你想的长
银狐仿冒的范围远超多数人想象。安全团队监测发现，其一波攻击就仿冒了多达 27 种常用工具。知乎WPS、Notepad++、WinRAR、Chrome、搜狗输入法、Telegram、Xshell、迅雷、DeepL 都在列。国内社区里还在不断补充新案例：有人栽在假火绒官网，下载到的就是带毒安装包。小红书假滴答清单、假迈从、假 DeepSeek 官网，也陆续有人中招。
这些假官网有共同点：页面高仿，域名和真官网只差一个字母或一个连字符，下载的多是 .msi 或 .zip 安装包。上面那位小红书网友中招后，木马"篡改并隐藏系统文件，让你找不到它，修改注册表反复自启动，占用 CPU 百分百"。小红书它还可能盗用你的社交账号，对外发送诈骗信息。
投毒规模：一个季度 2896.27 万封钓鱼邮件
值得当回事的另一个原因，是规模。仅 2026 年二季度，监测到的银狐诈骗邮件总量就高达 2896.27 万封。知乎攻击也不再集中在单点地区：山东以 558.5 万封首次超越香港，位列全国第一；江苏 471.7 万封紧随其后，北京、浙江、广东长期处于高位。
手法也在全面升级。最新变种用 MSI 安装包拿到 SYSTEM 高权限，连续套两层"白加黑"——用带合法签名的程序加载同目录下的恶意 DLL，还用 BYOVD 手段加载易受攻击的驱动，直接在内核层瓦解终端防护。知乎换句话说，杀毒软件本身可能先被放倒。
公安部网安局公布的 5 起打击"银狐"木马病毒典型案例显示，这类木马伪装性强，专门针对企事业单位工作人员、特别是财务人员实施精准攻击，可远程控制计算机、窃取账号密码、拦截短信验证码。知乎警方侦破的真实案件中，诈骗分子通过远控木马潜伏，在员工毫无察觉的情况下冒充内部高管，诱导大额转账。知乎
下载前三查：域名、签名、警告
普通用户不需要懂攻击链，记住三个动作，就能拦住绝大多数假官网。
一查域名。真官网域名干净，没有奇怪的连字符和后缀。知乎拿不准时，优先认准标有蓝底白字"官网"的搜索结果，也可以把网址放进 VirusTotal 或微步的 URL 扫描先查一遍。
二查安装包。火绒、WPS 这类常用软件通常是 .exe，银狐偏爱 .msi；下载完 .exe，先右键属性看"数字签名"，核对签名公司是不是软件官方。知乎很多防银狐教程都漏了这一步。
三查警告。浏览器或 SmartScreen 弹出"已报告为不安全"时，立刻停手，别点"仍要运行"。
已经中招怎么办，以及进阶玩家的提前拦截
如果已经点了、装了，动作要快：第一时间断网（拔网线、关 Wi-Fi），用另一台干净设备下载 360 急救箱等可靠工具，通过 U 盘拷入做全盘查杀。这步不能省——有中招者发现，Defender 的病毒查杀模块被直接关闭，想手动重启，系统却提示"IT管理员禁止了这些功能"。知乎查杀之后也别急着登录社交账号和支付软件：银狐会潜伏，确保病毒彻底清除后再用。小红书若发现系统里被植入了 WDAC 策略文件或异常启动项，建议找专业人士处理——假火绒官网的样本正是靠恶意 WDAC 策略拦截安全软件，只删策略文件没用，需要完整清除木马持久化载荷，否则重启后策略会重新生成。小红书
进阶用户还可以提前做主动拦截：用 AdGuard Home 等网关加载威胁情报规则集，在 DNS 层直接拦掉已知银狐钓鱼域名，有玩家整理的规则集已超过一百万条。知乎
最后说回 ToDesk 本身：免费额度缩水后，重度用户确实要算一笔账，是升级付费，还是换一款远程工具。但无论最后用哪款，都别把"第一次下载"这个动作交给搜索引擎广告位——假官网不挑付费用户还是免费用户，只挑没看域名的人。
