我关注的神算子44470.cm是否有病毒或恶意软件

12 月 5 日晚上十一点四十分，我坐在书桌前，打开一台装了三个月没清理的旧笔记本。

这台机器是 2019 年的 ThinkPad T490，系统还是 Windows 10 21H2，杀毒软件用的是 Windows Defender，没装别的。我特意选它，是因为它足够旧，也足够脏——如果某个域名有问题，这里会先露出痕迹。

我要查的域名是：神算子44470.cm。

起因很简单。三天前，有人在一个本地论坛的短消息里发了这个地址，说「里面有你要的号码资料」。我没点，先存进了记事本。存的时候看了一眼，`.cm` 后缀，喀麦隆的国家域名。这个后缀我见过好几次，多数时候跟灰产挂在一起。

但这只是印象，不是结论。印象不能当证据用。

第一晚：先看它究竟连到哪

我先在虚拟环境里做 DNS 查询。主机名解析到两个 IP，一个是 104.21 开头的地址，另一个是 172.67 开头。查过的人都知道，这是 Cloudflare 的线路。也就是说，站点把真实服务器藏在 CDN 后面。

这不代表恶意，只代表看不清。

我接着用 curl 抓了一次响应头。返回 301，跳到 `https://神算子44470.cm/`，再跳一次，落到一个用 WordPress 搭的页面。首页加载了 14 个外部脚本，其中 6 个来自同一个不明的 js 域名，路径里带 `analytics`。我数了三遍，确认是 6 个，不是 5 个。

其中一个脚本的内容，被我拖进了记事本。它做的不多：读 cookie、读屏幕尺寸、往一个 `/collect` 接口 POST 数据。这种写法在统计工具里很常见。但它没有隐私声明，也没有任何提示。这一点我不喜欢。

喜欢不喜欢，只能写进口记，不能写进判断。

那一晚我把浏览器开在无痕模式，把系统自带的开发者工具一直挂在旁边监控网络请求。二十分钟里，页面主动连接了 9 个第三方域名。其中有一个我认识，做过奥马资料查询入口那个页面时见过。另外八个，我在公开的威胁情报库里都没有查到明确记录。

没有记录，不等于安全。这是我做这个站以来最常提醒自己的一句话。

第二晚：文件到底动了哪里

12 月 6 日，我换了个思路。不用浏览器，直接看站点上的下载链接。

首页右侧有个「资料包」按钮，点了会跳到一个 `.exe` 文件的直链。文件名是 `tianji_helper_setup.exe`，大小 3.2MB。我没有运行它，而是把它扔进沙箱，用 Process Monitor 记录了 90 秒。

它创建了三个文件，两个落在 `%TEMP%`，一个落在 `AppData\Roaming`。它还改了一个注册表项，位置在 `HKCU\Software\Microsoft\Windows\CurrentVersion\Run`。这是开机自启。

到这一步，我的态度变了。

我把这件事讲给一个做安全的朋友听，他姓周，在杭州一家云厂商做应急响应。他回了我一句很平的话：「`.cm` 加直链 exe，加自动启动，三个凑一起，你还要问？」

我说我要确认。他发来一个链接，是管家婆27792论坛资料查询表使用技巧常见问题那篇里我整理过的沙箱工具清单，让我自己再跑一遍。我跑了。结果一致。

这里放一句我自己的话：这个域名本身不是「病毒」，但它在分发一个不该被信任的可执行文件。这两者不是一回事，而后者更值得警惕。

我把它归到哪一类

回来整理记录，我分了四条。

一，站点本身没有挂马，打开页面不会自动下载任何东西。二，它依赖的第三方脚本数量偏多，其中至少一个没有披露数据用途。三，它提供的 exe 有自启动行为，且没有数字签名。四，域名注册时间不到一年，注册信息做了隐私保护。

四条里，第三条最关键。

所以我的结论是：澳门神算子快报网那一类纯资讯页面，风险主要在追踪脚本；而像神算子44470.cm 这种放下载的，风险点在文件本身。两种要分开看。

我还顺手比对了一个类似的站点，新澳门山海经论坛73409，它的页脚至少写明了运营方，而这里没有。

没有署名，是一个信号。

给下一个想查的人

如果你也在乎「神算子44470.cm是否有病毒或恶意软件」这个问题，我给三步，按顺序来。

第一步，无痕窗口开页面，开发者工具看 Network，数第三方请求。第二步，任何下载链接先不进沙箱，先看文件大小和签名。第三步，如果文件有 `Run` 注册表写入，直接删掉，别犹豫。

这些话不新鲜，但很少有人真的按顺序做完。

写到这里，我又看了眼那个记事本。2019 年那台 T490，我给它恢复出厂了。桌面上的澳门神算子精准资料免费哲学书籍推荐那个书签我留着，其余的清空。

夜里两点四十，楼下的路灯还亮着。我合上屏幕，觉得今天这件事，查得值。

• 01 在旧书摊翻到一本 1987 年的《密码学浅说》

  封面掉了，扉页有人用铅笔写了「周明，1989.3.4」。我买了下来，理由说不清。

• 02 奥马资料查询入口的页面结构，我拆了三遍

  三次结果不同。第三次才发现问题出在缓存头。

• 03 管家婆27792论坛那个查询表，到底怎么用

  把常见问题列了一遍，附上我自己的沙箱工具清单。

• 04 新澳门山海经论坛73409 的页脚署名问题

  有署名和没署名，处理方式不一样。这不是小事。

• 05 澳门神算子快报网：纯资讯页的风险在哪

  脚本比内容多。数了 11 个外部请求。

• 06 12 月 5 日沙箱记录：一个 3.2MB 的 exe

  创建三个文件，改一个注册表项。我把它删了。

• 07 澳门神算子精准资料免费哲学书籍推荐 的阅读顺序

  不按顺序读会乱。我列了一个人觉得可行的顺序。

• 08 朋友周明在杭州讲的一次应急响应

  他只用一句话就下了判断。我当时不服，后来服了。

• 09 ThinkPad T490 恢复出厂之后

  清空的不只是文件。记一笔。