遭遇剪贴板劫持木马？别慌，这份防杀指南请收好

最近圈子里有个朋友跟我吐槽，说自己习惯性地复制了一个加密货币收款地址，结果付完款对方说没收到钱。仔细一查，傻眼了——剪贴板里的地址被悄悄换成了别人的！这其实就是典型的“剪贴板劫持”木马在作祟。因为平时大家经常复制粘贴敏感信息，这东西一旦潜伏在设备里，危害着实不小。今天就借着这个事儿，咱们好好聊聊怎么对付这个隐秘的捣乱者。

什么是剪贴板劫持？它是怎么得手的？

剪贴板劫持木马在后台监控并瞬间替换复制内容的示意图

简单来说，剪贴板劫持就是一种恶意软件，它会在后台悄悄监控你的剪贴板操作。只要你复制了它感兴趣的内容（比如加密货币地址、银行账号、或者是某些特定的验证码），它就会毫秒级地把你复制的内容替换成黑客预设好的内容。

因为替换速度太快，很多时候你粘贴出去的并不是你原本想复制的那一串字符。等你反应过来，钱可能早就转走了，或者账号密码已经被盗了。

这类木马通常喜欢藏在哪儿呢？

• 破解版/盗版软件： 这是最常见的传播途径。看着免费，实则捆绑了各种各样的木马。
• 来路不明的浏览器插件： 尤其是那些号称能“优化”、“增强”功能的插件，权限开太大，很容易监控剪贴板。
• 恶意网页脚本： 访问某些不正规的网站时，利用浏览器漏洞偷摸运行脚本。
• “流氓”安装包： 安装某些正常软件时，没取消勾选那些附带的各种“全家桶”。

发现中招了？这几步紧急处理得跟上

如果你发现自己的复制粘贴行为很诡异，或者像开篇提到的那样发生了转账事故，别犹豫，立刻开干。

第一步：物理断网，止损第一

如果怀疑涉及资金被盗，第一时间拔网线、断Wi-Fi、关闭手机移动数据。防止木马继续回传数据或者进行远程操作。

第二步：全盘杀毒，别只扫C盘

不要依赖系统自带的那个简单防御，建议直接找专业的杀毒软件进行全盘查杀。这里建议进入Windows的**“安全模式”**下进行扫描，因为很多木马在正常模式下是有自我保护机制的，安全模式下它们不容易启动，更容易被清除。

常用且口碑不错的几款（非利益相关，仅供参考）：

• Malwarebytes： 专杀各类流氓软件和木马，效果很猛。
• 火绒安全（针对国内环境）： 对国内常见的流氓软件和修改Hosts的劫持处理得很顺手。
• Kaspersky / 卡巴斯基： 老牌劲旅，查杀率极高。

第三步：手动排查，揪出“内鬼”

杀毒软件扫完，最好再手动检查一下“可疑分子”。

1. 检查浏览器扩展： 把Chrome、Edge等浏览器里的插件过一遍。不认识的、近期安装的、评分很低的，统统禁用或卸载。特别是那些能读取“你复制和粘贴的数据”权限的插件。
2. 查看启动项： 打开任务管理器（Ctrl+Shift+Esc），看“启动”选项卡。把那些路径古怪、发布者是“未知”的启动项全部禁用。
3. 检查计划任务： 在Win菜单搜索“任务计划程序”，看看有没有奇怪的定时任务。很多木马会把自己设定为定时启动，以求长期潜伏。

治标更要治本：如何预防才是关键

经历了上次那事儿，我也总结了一套“防劫持”的卫生习惯，分享给大家。

1. 软件下载要走正规渠道

这听起来是老生常谈，但绝大多数中招都是因为点了搜索结果里带“下载”、“高速”字样的坑爹广告。尽量去官网、或者正规的应用商店下载。如果是Windows用户，尽量开启Microsoft Store筛选，或者用 scoop、winget 等包管理器安装软件，相对安全很多。

2. 管理好剪贴板历史（慎用）

Windows 10/11 虽然有剪贴板历史功能（Win+V），很方便，但里面存的密码、地址啥的如果不及时清理，也是个隐患。如果你习惯用这个，记得定期清理历史记录。

3. 敏感操作“多看一眼”

涉及到转账、输入密钥的时候，哪怕你刚刚复制粘贴过，一定要再次核对前几位和后几位字符。地址这东西很长，一般只看头尾能不能对上，中间大部分很难肉眼看出问题，但核对头尾通常能发现被替换的痕迹。

4. 使用专门的剪贴板管理工具

可以使用一些带安全防护功能的剪贴板增强工具，或者密码管理器（如Bitwarden、1Password等）。这些工具在识别到剪贴板内容是敏感信息时，会在一段时间后自动清空剪贴板，哪怕有木马监控，它也只能拿到一堆乱码或者空内容。

使用专业杀毒软件在安全模式下进行全盘查杀

5. 定期更新系统

很多木马利用的是旧版系统的已知漏洞。把自动更新打开，打好补丁，能挡掉很大一部分基于网页的恶意攻击。

写在最后

剪贴板劫持这种手段，虽然技术上不算特别高端，但胜在隐蔽，利用的是大家的信任和惯性。只要咱们在安装软件时多长个心眼，在涉及金钱交易时多核对一次，就能把这类的风险降到最低。

如果大家有遇到过类似的奇葩经历，或者有更好的排查工具推荐，欢迎在评论区分享！