假测试钓鱼与木马感染急救排查矩阵
| 攻击演进阶段 | 骗子伪装行为表现 | 底层技术载体与危害 | 权威保命处置动作 |
|---|---|---|---|
| Discord/QQ 私聊搭讪阶段 | 自称独立游戏团队萌新，恳求帮忙试玩 Unity/虚幻自制 DEMO 并承诺付测试报酬 | 典型的社工学破冰钓鱼；附件挂载在 Mega、MediaFire 或 Discord CDN | 直接拉黑举报；严禁下载任何陌生人打包的非平台安装包 |
| 收到压缩包文件特征 | 带有解压密码的 .zip 压缩包，解压后是一个高达 600MB-800MB 的 .exe | 利用空白填充（Zero-padding）膨胀体积绕过杀毒软件云查杀 | 严禁双击！立刻丢进虚拟机或沙箱分析网站检测 |
| 双击运行瞬间 | 黑色的 CMD 命令行窗口闪烁 0.5 秒后消失，随后没有任何游戏画面弹出 | Lumma/RedLine 窃密木马已驻留：15 秒内卷走全部浏览器 Cookie 与 Token | 立即拔掉网线或断开 Wi-Fi！切断木马回传通道 |
| 感染发作后期征兆 | 自己的 Discord 开始自动向所有好友和群组疯狂群发完全相同的试玩诈骗私聊 | 电脑已彻底沦为僵尸网络肉鸡；各平台 Session 凭据全线失守 | 立即在手机上改密踢人，电脑准备 U 盘全新重装系统 |
当前在 Discord、Steam 社区与 X 上，针对游戏玩家与创作者的定向网络攻击呈现爆发态势。骗子伪装成诚恳的独立游戏制作人，以“求提意见”、“有偿试玩体验”为诱饵，诱骗玩家下载并运行精心伪装的 窃密木马（Infostealer）。
阶段一：识破“独立游戏测试木马”的三大伪装外衣
- 加密码压缩包防查杀：骗子必须给你解压密码（如 1234）。因为加了密码的压缩包，QQ、Discord 与邮件网关的杀毒引擎无法解压扫描内部文件，使木马轻松穿透安全防线。
- 人工注水膨胀文件体积：骗子用工具往只有几兆的木马
.exe里面塞入几百兆无效的 0 字节，强行把体积撑大到 600MB-800MB。包括 VirusTotal 在内的绝大多数主流云查杀工具对单文件检测上限通常为 100MB-500MB，大文件会被自动跳过查杀。 - 15 秒全盘搜刮与回传：一旦双击，木马瞬间提取 Chrome、Edge、Firefox 内存储的全部网站密码、自动填充记录，以及包含登录凭证的本地 SQLite Cookie 数据库，通过加密通道传给境外 C2 控制服务器。
阶段二：黄金三分钟被黑急救四步法（如果你已经手贱点开了 EXE）
如果你已经运行了那个莫名其妙的测试程序，请分秒必争按顺序执行：
第一步：立即物理断网（10 秒内执行）
立刻拔掉电脑网线，或在任务栏关闭 Wi-Fi！ 木马从搜集数据到压缩上传需要 10-30 秒时间。只要抢在它发起 HTTPS POST 请求前掐断物理网络，窃密数据就会烂在本地内存中，无法回传给黑客。
第二步：拿起智能手机，全线改密踢人（必须用手机流量，严禁连家里 Wi-Fi）
打开手机（使用 4G/5G 蜂窝网络）：
- 邮箱（核心生命线）：立即修改主力 Google / QQ / 163 邮箱密码，并在安全中心点击“强制注销所有其他设备登录”。
- Steam：修改 Steam 密码，通过手机令牌“取消对所有其他设备的授权”。
- Discord：修改 Discord 密码（改密会自动重置底层的 Session Token，彻底让盗号脚本失效）。
- 金融与加密钱包：立即冻结绑定的信用卡或转移链上资产。
第三步：深度净化操作系统
窃密木马会在 Windows 注册表启动项、计划任务中注入白利用后门，常规杀毒软件很难百分之百清理干净：
- 制作离线 PE 启动盘或全新 Windows 官方安装 U 盘。
- 格式化系统盘，执行纯净全新的系统重装，这是确保没有任何残留无文件木马的唯一权威方案。
交付验收清单
- 确认 Discord 的授权应用（Authorized Apps）列表无任何未知第三方集成。
- 确认全部重要平台开启了独立的物理 2FA（如 Authenticator 应用）。
- 绝不在任何未受保护的物理主机上运行非 Steam / Epic 官方渠道分发的独立测试可执行文件。