那天刷短视频看到有人安利蜜柚直播，说是什么免费高清还能挣钱。我心想天下哪有免费的午餐，这玩意儿下载估计得小心点。随手打开浏览器搜"蜜柚直播下载"，嚯，跳出来一堆乱七八糟的站点，连"澳门赌场"的广告都混进来了。我赶紧退出来，心里咯噔一下：这要是手快点了，指不定手机里就多了啥玩意儿。
一、摸黑找官网
我先打开手机自带的应用商店，老老实实搜"蜜柚直播"。结果跳出来十来个同名的山寨货，图标看着就不对劲——有个背景是西红柿炒鸡蛋配色，还有个直接盗用大平台的logo改了个字。点开评论区一看更离谱："安装就扣了20元话费""后台偷跑流量贼快"。吓得我赶紧卸载了几个测试下载的冒牌货，差点白给话费充值。
- 山寨App通常名字多一两个字，比如"蜜柚直播"
- 安装包大小离奇，正版58MB，野包才3MB
- 评论区全是一星骂扣费的
二、解剖安装包
在个不起眼的论坛找到疑似官网链接（这里省略验证过程）。安装时多留了个心眼，先把安装包导进电脑杀毒。好家伙！安全软件直接跳出红色警报："检测到恶意获取通讯录权限"。又用反编译工具查了下代码，里头藏了十几个读取短信的请求，还偷偷绑定了三四个广告SDK。
想起去年同事中招的事——他下了个盗版影视App，结果相册里工作文件全被加密勒索，现在看见"免费"俩字就哆嗦。我赶紧把这个安装包彻底粉碎删除，后背都冒冷汗。
三、土法子验真身
正发愁怎么验证，突然想起老东家的坑人事儿。两年前我在电商公司干运营，加班做推广活动用了款小众工具。结果行政部买的是盗版，导致全公司电脑中毒，服务器瘫痪两天。老板倒推给我们部门背锅，绩效全扣光。
就冲这教训，我现在下软件必做三件事：
- 看开发公司官网 —— 蜜柚的母公司叫"甜橙科技"，查营业执照发现三个月前才注册
- 比数字签名 —— 官网包签名是*，野包是*666
- 关权限测行为 —— 把短信/通讯录权限全关掉，正版还能看直播，盗版直接闪退
血泪 你以为薅了羊毛，实际人家准备拿你手机挖矿。现在免费App的套路比缅北诈骗还深，检测完这个蜜柚直播，我直接扭头下载了国家反诈中心App压惊。
