警惕MAS仿冒钓鱼域名！仅差1个字母，执行激活命令即中招远控木马

安全监测平台曝光新型域名钓鱼攻击，黑客注册与MAS官方域名仅相差字母d的仿冒站点get.activate.win，专门针对Windows/Office批量激活用户。用户手动输错PowerShell激活命令后，看似能完成系统激活，实则后台静默植入CosmaliLoader加载器，下发挖矿程序与XWorm远控木马，电脑彻底沦为黑客肉鸡。本文拆解攻击原理、恶意软件危害，给出MAS安全激活规范与域名辨别技巧。

一、攻击事件复盘：一字之差，激活脚本暗藏病毒

MAS是开源Windows、Office在线激活工具，凭借一行PowerShell远程执行命令操作便捷，深受个人用户、机房运维人员使用。官方唯一可信在线激活域名固定为get.activated.win，完整命令：irmhttps://get.activated.win|iex。

近期安全厂商追踪到黑客精准注册仿冒域名get.activate.win，仅删减末尾字母d，视觉上极难分辨。多数用户图省事手动输入命令，极易忽略细微拼写差异。执行伪造域名命令后，脚本表面正常完成系统激活流程，不会出现报错弹窗，隐蔽性极强。

MAS官方团队紧急发布安全预警：该钓鱼脚本依托管理员权限运行，无安全拦截限制，一键下载多级恶意载荷，目前已有大量用户反馈电脑异常卡顿、文件被窃取。

二、恶意软件双重危害：挖矿占用资源+远控窃取全部隐私

安全人员深度拆解钓鱼脚本载荷，病毒分两层持续破坏设备，风险远超普通广告木马：

加密货币挖矿程序
CosmaliLoader加载后台驻留挖矿进程，长期占用CPU、显卡全部算力，电脑频繁高温卡顿、电费激增，硬件加速老化；企业办公设备中招会直接拖垮局域网运行效率。

XWorm远程访问木马
黑客获取设备完整控制权限，可实时查看屏幕、记录键盘输入、窃取浏览器账号密码、本地文档、照片、网银凭证；还能批量植入后门，将单机作为跳板渗透内网多台电脑。

有受害用户反馈，感染后弹出警示弹窗提示设备已被入侵，建议重装系统，该弹窗来自发现病毒后台漏洞的白帽研究者，侧面证实此次攻击波及范围极广。

三、3个实用方法，彻底规避MAS域名钓鱼陷阱

1、杜绝手动输入命令，官网复制粘贴是最优解

不要凭记忆手打PowerShell激活代码，每次激活统一访问MAS唯一官网massgrave.dev，完整复制页面内置命令，从根源避免拼写失误。

2、逐字符核对域名，牢记真假域名差异

官方正版：get.activated.win（带字母d）
恶意仿冒：get.activate.win（无字母d）
执行命令前放大链接完整核对，不要只看前后字段忽略中间字符。

3、离线本地脚本激活，彻底切断远程域名风险

优先下载GitHub官方完整离线压缩包，本地解压运行MAS_AIO.cmd，无需调用外部在线域名，完全规避域名劫持、仿冒钓鱼风险，适合长期批量激活场景。

四、延伸科普：域名仿冒攻击已成黑客主流手段

本次MAS钓鱼属于典型字符删减型域名Typosquatting，是当下黑客低成本攻击手段：提前注册和正规站点只差1个字母、数字、符号的相似域名，利用用户输入粗心传播病毒。

除激活工具外，网盘、建站程序、开源工具均是重灾区。安全专家提醒：凡是需要管理员权限执行远程脚本、下载程序的场景，必须双重校验域名真实性，关闭Defender等安全软件前，务必确认来源正规，避免双重安全漏洞叠加。

结语

一行激活命令，一个遗漏字母，就可能造成全盘数据泄露与硬件资源被盗用。MAS仿冒域名攻击给所有系统激活用户敲响警钟：不要贪图便捷手动输入远程脚本地址，坚持官网复制或离线本地激活，养成核对完整域名字符的习惯，才能抵御这类低成本、高危害的域名钓鱼攻击。若不慎执行恶意命令，建议全盘格式化重装系统，清除木马残留后门。