木马伪装成"优衣库试衣间视频"的诱骗链路相当直接：不法分子将恶意程序命名为与热点事件高度匹配的文件名，再通过社交平台、网盘或论坛广泛散布，利用用户的好奇心驱使其主动下载并运行。2015年优衣库事件热度最高的那几天，这类伪装文件的传播速度几乎和事件本身同步。

木马为什么偏偏选这个热点？

热点事件天然具备两个条件，恰好是木马传播最需要的：第一，用户有强烈的主动搜索与下载意愿；第二，获取渠道本身就不在正规平台，用户对"从小链接下载"的警觉会大幅降低。在事件引爆微博的24小时内，海量人群同时在搜索相关视频，不法分子只需把木马打包进压缩包、命名为"优衣库试衣间视频1分11秒完整版"之类，就能精准触达最容易上钩的群体。

另一个关键因素是情绪驱动。好奇、猎奇、"只看一眼"的心理会压制安全判断——这与正常下载软件时用户会核查来源域名的谨慎状态截然相反。不法分子对此心知肚明，所以每一次重大舆论事件之后，伪装木马的数量都会出现阶段性峰值。

诱骗链路分几步？

  1. 投放诱饵文件：将木马程序重命名为"优衣库视频完整版.exe"或打包进含有无关图片的压缩包，上传至论坛帖子、网盘或私信链接。文件名越接近用户搜索词，点击率越高。
  2. 诱导关闭安全软件：文件下载后，安装向导或附带的"使用说明"会提示用户"此视频需关闭杀毒软件方可播放"或"被误报，请添加白名单"。这一步是整个链路中最关键的操纵节点——安全软件一旦被关闭或绕过，后续恶意行为几乎不受任何拦截。
  3. 运行并植入：用户按提示运行文件后，木马在后台完成植入，通常不会产生任何可见的异常反馈，以维持"视频已在加载"的假象，降低用户的怀疑概率。
  4. 执行恶意操作：植入完成后，木马可执行多类操作，包括但不限于：记录键盘输入以盗取账号密码、篡改浏览器主页与默认搜索引擎、强制安装捆绑软件、向外部服务器回传本地文件。
  5. 持久驻留：部分变种会在系统启动项写入自身，确保每次开机后仍能运行，且可通过远程指令接收新的恶意模块，使清除难度成倍增加。

用户哪些行为会显著提高中招概率？

  • 从微信群、QQ群或论坛帖子中直接下载可执行文件（.exe/.bat/.scr），而非前往官方应用商店或正规视频平台
  • 按"使用说明"要求暂时关闭或退出杀毒程序，或将下载文件手动添加至白名单
  • 使用管理员权限运行来源不明的压缩包内文件
  • 在公共网络（咖啡厅Wi-Fi、酒店网络）下进行上述操作，账号密码一旦被截获，追回难度更大

如何快速判断文件是否可疑？

正规视频文件的扩展名通常为.mp4、.mov、.avi等，而木马最常伪装的格式是.exe（可执行程序）。如果一个"视频文件"在双击前显示的图标是播放器样式、但扩展名是.exe，这本身就是最明显的红旗信号。此外，压缩包内同时含有视频封面图和一个可执行文件，也是常见的双层伪装手法——前者用来安抚用户，后者才是真正的攻击载荷。

更系统的识别方法与防范操作步骤，可参阅我们整理的木马识别与防范完整指南，其中包含文件格式核查、在线沙盒检测等具体方法。

中招后应立即做什么？

  1. 立即断开网络连接，阻止木马向外部服务器回传数据。
  2. 在另一台未受感染的设备上，修改已在受感染设备上登录过的所有账号密码，优先处理邮箱、支付类账号。
  3. 重新启用或重新安装杀毒软件，对全盘进行深度扫描。
  4. 检查浏览器主页、默认搜索引擎及扩展程序列表，清除未知项目。
  5. 查看系统启动项（Windows可用msconfig或任务管理器），删除可疑条目。

这和优衣库事件本身有什么关系？

木马利用的是"优衣库事件"这一标签，而非优衣库品牌或事件当事人的任何授权内容。事件真相——包括警方如何认定视频性质、上传者被刑事拘留的始末——与木马传播是两条完全独立的线索。优衣库事件高频问题页面对两者都有梳理，如果你同时想了解转发视频的法律风险与如何避免被木马感染，可以在那里找到完整导航。

简而言之，遇到任何以"优衣库视频"为名的可下载文件，默认当作木马处理，是目前最稳妥的安全策略——毕竟正版视频内容从未在合规平台公开发布过，凡声称提供"完整版"的来源，可信度几乎为零。