单机游戏报毒杀毒无果记

前天晚上我从一个老牌单机游戏论坛下载了《文明5》的免安装中文版，压缩包1.8GB，WinRAR刚解压到一半，金山卫士的托盘图标就变红弹窗，称在“破解补丁\CivilizationV.exe”路径下发现木马“Win32/Trojan.RiskKit”。我没敢继续解压，赶紧点隔离，接着打开金山毒霸做全盘扫描。结果扫描持续半小时，查遍所有盘符，别说木马，连一条风险提示都没有。我又把那个被隔离的文件右键提交到金山安全中心云鉴定，网页给出的结论同样是“安全”。这就很奇怪了：同一个文件，监控管它叫木马，云查杀却认证成安全，到底听谁的？

这类事情其实在单机游戏下载圈里太常见了。金山卫士的实时监控和杀毒引擎用的是不同的策略，监控为了抢速度，会对任何有可疑行为的文件先报毒再说，尤其是带自解压、加壳、修改注册表动作的破解程序。破解补丁天生就和木马长得很像：它要生成随机文件、改内存、写启动项，甚至要绕过管理员权限。安全软件如果按照行为特征判断，几乎百分之百认定这是恶意程序。可手动扫描时，毒霸才会去比对完整特征码和云端大数据，而金山卫士报的那个“风险工具”类别，其实不是传统意义上的病毒，它只是“有风险的程序”。所以全盘扫描自然查不出来，因为风险工具默认不列在病毒里，只在“木马查杀”的扩展项里显示，可一般用户根本不会注意到。

也有一种情况是文件被“加壳”了。很多单机游戏破解组为了缩小体积和防止被杀软直接分析，会套一层VMProtect或Themida壳。这种壳本身就是恶意软件常用包装，金山卫士的启发式引擎一遇到高压缩比的未知程序就会判定为加壳木马。等用户真去杀毒，查杀引擎又发现文件已经运行过，释放到系统目录里的临时文件被主动防御拦截后自动清理，剩下压缩包里的母体已经被加上“信任”标记，所以扫描空手而归。

那些真正通过修改游戏主程序来破解的补丁更让人头疼。比如三国志系列，破解文件会替换原有exe，同时往系统目录放一个msvcr100.dll，名字听着像微软运行库，实际是破解组件。这种文件在杀毒软件看来就是典型DLL劫持木马。我那条弹窗还附带参考信息，说“木马可通过修改系统配置实现开机自启”，可整个游戏目录我手动翻过，没有出现任何开机启动项，注册表里也没有异常。显然，金山的特征库抽取了一个纯行为特征，把它误套在了破解文件上。

更离谱的是，我把金山卫士卸掉，重新下载了同一个压缩包，用微软系统自带的Defender扫描，结果干净。再用火绒扫描，也干净。同一个文件，三家给出两种结论。后来我查了病毒名“RiskKit”，原来这个名称是金山对“风险工具”的统称，特指那些双刃剑工具，比如修改器、远程控制软件、广告拦截器。这游戏里附带了一个游戏速度修改器，支持更改战斗动画速度，它调用了WriteProcessMemory函数，这个函数也是外挂和盗号木马最常用的。金山卫士的监控只要看到调用这个API就立刻报毒，而到了毒霸的扫描阶段，它又允许通过，因为那个修改器在金山官方工具里有白名单签名。所以最终结果就是“报毒”和“查不出来”同时成立。

这种现象真正影响的是单机游戏玩家的信任。很多人下载完一看弹窗，直接就把压缩包删了。我本来也差点这么做，后来转到备份站重新下载，用其他杀软检测没问题，才放心玩上。给后来者一句建议：如果金山卫士报毒但全盘扫描无果，先看病毒名后缀，是“RiskKit”“Heur”还是“Adware”。带这些后缀的多半是误报，不必急着删。可如果病毒名是“Trojan/Inject”或者“Ransom”，且扫描后确实清理出文件，那就得小心。还有一点，下载单机游戏尽量去3DM、游侠这类老牌论坛的官网专帖，别在搜索引擎点那些标着“绿色版”的下载站，那里捆绑广告插件才是真风险。这次经历也印证了安全圈那句老话：杀软报毒未必是毒，查不出毒也未必真安全，关键看报毒的名字和来源路径。