Google搜索模拟器首选结果指向分发恶意exe的网站

问题

标题： 从 lichii.org 下载的 Windows 版本会启动 node.exe 并执行 %TEMP% 中的脚本，与 GitHub 发布版不同

摘要

我从 https://lichii.org/ 下载了 Windows 版本（lichii-win64.zip）并运行了它。随后我的杀毒软件（火绒）阻止了来自 node.exe 的出站网络请求，该进程正在执行位于 %TEMP% 中的一个 .mjs 文件。该文件已不在磁盘上，因此我无法恢复它。 后来我从本仓库的 GitHub Releases 下载了 Windows 版本，没有看到此类网络活动或 Node.js 进程。 Lichii 是一个原生 C++ 应用程序，不应需要 Node.js，因此我怀疑 lichii.org 提供的构建与官方发布版不同。

我观察到的现象

• 可疑构建的来源：https://lichii.org/downloads/lichii-win64.zip
• 启动后，我的杀毒软件阻止了 4 个出站请求，分别归因于 node.exe、svchost.exe 和 vmnat.exe（后两者可能只是 DNS/NAT 中继）。
• node.exe 进程正在运行 %TEMP% 中的一个 .mjs 脚本，我随后检查时该文件已消失（被删除或自删除）。
• 被阻止的目标：[杀毒软件日志中的域名/IP]
• 对下载的 zip 进行静态扫描未发现检测结果，因此这可能是一个分阶段下载器，在运行时获取其载荷。
• 来自 GitHub Releases 的构建未显示任何网络活动或 Node.js 进程。

哈希值

• lichii.org 上显示的哈希：da27bb51d82d14600da3e8d5fa87087641c9db09e9850365adbf7d2b54e518b4

向维护者提出的问题

1. lichii.org 是本项目的官方网站吗？
2. 那里提供的 Windows zip 是由维护者构建并签名的吗？它是否应该与 GitHub 发布版不同？
3. 如果不是，您能否在 README 中添加一则通知，列出官方下载位置和预期校验和，以便用户避开冒名网站？

环境

• Windows [版本]
• 杀毒软件：火绒
• 我已隔离该机器，并将其视为可能已遭入侵。