你点开一个链接，木马页面跳出来一个“您的网站电脑存在高危漏洞，请立即下载补丁”。木马你信了，网站点了下载。木马三秒后，网站一个叫“svchost.exe”的木马东西悄悄住进了你的系统盘。它不弹窗、网站不卡顿、木马不报错，网站只是木马每隔几分钟往一个俄罗斯IP发一串加密数据。那串数据里，网站有你刚登录网银时敲的木马密码。
这就是网站木马网站干的事。它不撬你家门锁，木马它伪装成外卖员，你主动开了门。
很多人把木马网站和钓鱼网站混为一谈。钓鱼是骗你交出账号密码，木马是直接在你机器上装后门。前者像街头骗子，后者像入室盗窃。区别在于——钓鱼网站骗完就跑，木马网站会赖着不走，而且能反复偷。
我见过一个案例。某高校实验室的服务器被挂马，攻击者没急着偷数据，而是先装了键盘记录模块，跑了整整三周。三周里，实验室所有登录过服务器的账号密码全被截获，包括一个关联的校园支付系统。最后损失不是数据，是钱。直接划走了八万多。
木马网站怎么来的？多数不是黑客专门为你定制的。它们藏在盗版软件下载站、色情视频播放页、甚至某些“破解版”工具里。你下载的“Photoshop 2024免激活版”，安装包里可能就绑了一个远控木马。安装时它跟正常组件一起释放，杀毒软件偶尔会报，但很多人选择“忽略”。
有个细节值得说。木马网站往往不追求页面精美，反而故意做得粗糙。一个满是错别字的“XX银行安全控件更新”页面，反而比高仿官网更容易得手。因为高仿站需要成本，粗糙站是批量生产的，一天能上线几百个，打一枪换一个域名。你看到“您的浏览器版本过低，请点击升级”，那个“升级”按钮就是个exe文件。
再说传播方式。早年靠邮件附件，现在靠社交工程。比如你在某个微信群里看到“公司财务制度最新版.pdf.exe”，后缀是.exe，但Windows默认隐藏扩展名，你看到的就是一个PDF图标。双击，木马运行，然后它自己把原文件删掉，再弹出一个真的PDF让你看。你毫无察觉。
怎么判断一个网站是不是木马站？几个土办法。第一，域名奇怪。比如“icbc-verify.com”这种，正经银行不会用这种域名。第二，页面让你下载东西。正经网站看新闻、查资料，不需要你下载任何“安全插件”。第三，你被诱导关闭杀毒软件。任何让你“暂时退出防护”的网站，直接关掉。
还有一类更隐蔽的——挂马。网站本身是正常的，但被入侵后，在某个页面里嵌入了一段iframe，指向木马下载地址。你访问的是正规网站，但浏览器悄悄去下载了恶意脚本。这种叫“水坑攻击”，专门针对特定人群。比如某个行业论坛被挂马，那段时间访问过的人，电脑里都多了个东西。
说个我自己的观察。很多人中了木马后，第一反应是“我没什么值钱的东西，不怕偷”。错了。木马要的不是你的照片，是你的算力。你的电脑会被加入僵尸网络，用来发垃圾邮件、挖矿、或者当跳板攻击别人。你电脑变卡、风扇狂转、电费上涨，都是它在干活。你成了帮凶，自己还不知道。
最后说一个反直觉的点。不是所有木马网站都让你“下载”。有些只需要你“允许”。比如浏览器弹窗“此网站想发送通知”，你点了允许。然后那个网站就能持续给你推广告，甚至利用浏览器漏洞执行代码。这种叫“通知木马”，不碰你硬盘，但一样烦人，一样危险。
对付木马网站，最有效的办法不是装十个杀毒软件。是管住手。不点不明链接，不装来历不明的软件，看到“请关闭杀毒软件”就关网页。你的电脑不是保险箱，但至少别主动给贼配钥匙。