识别与处置伪装成杀毒软件破解版的恶意仓库

当遇到声称提供 Bitdefender 等商业杀毒软件「破解版/预激活/Keygen」的仓库时，用一组指标判定其为恶意软件分发渠道并安全处置。

适用场景

解决思路

1. 检查仓库描述是否包含破解类关键词："crack"、"keygen"、"loader"、"pre-activated"、"full version"、"license key"、"activation"。
2. 检查仓库是否真的提供源代码：若源文件数量为 0、没有可审计的合法功能代码，标记为可疑。
3. 计算 star 增长速度（stars/day），例如 59 stars 在约 13 天内 ≈ 4 stars/day，速率异常高即疑似机器人刷 star。
4. 检查 topics 是否把正规安全术语与破解关键词混用；只要出现 "bypass" 或 "crack" 类 topic 就直接标红。
5. 检查 README 是否为空，以及 license 状态是否为 NOASSERTION（恶意仓库常见特征）。
6. 检查仓库创建时间，若在 30 天内创建（recently created）则提高怀疑等级。
7. 把上述信号组装成 SuspiciousRepoIndicators 结构（ClaimsCrackedSoftware、NoSourceCode、HighStarVelocity、SEOKeywords、NoReadme、RecentlyCreated），计算威胁分：超过 CRITICAL_THRESHOLD 即判定为 ThreatLevel_MALWARE_DISTRIBUTION，否则继续深入评估。
8. 用自动化扫描函数 MalwareIndicators(repoURL, description, topics) 把 description 转小写后逐条匹配 crackKeywords 列表，对每个命中关键词输出一条警告。
9. 预判此类仓库常见 payload：信息窃取器（浏览器密码、加密钱包、session token）、勒索软件、远程访问木马 RAT、挖矿程序、僵尸网络 DDoS 代理。
10. 绝对不要 download、clone 或执行该仓库中的任何文件。
11. 如确需分析，只在隔离分析环境中与恶意仓库交互。
12. 通过 GitHub 滥用举报表单 https://github.com/contact/report-abuse 举报，举报内容包含：仓库 URL、恶意内容描述、证据（截图、分析结论）。
13. 提醒你网络中的其他人，并记录相关指标用于威胁情报。
14. 只用官方来源获取安全软件：从 https://www.bitdefender.com/ 购买，或使用官方渠道的免费试用与教育/学生折扣。
15. 使用免费合法替代品：Windows 10/11 内置 Windows Defender；Avast Free Antivirus、AVG Free Antivirus、Kaspersky Free 仅从各自官网下载。
16. 验证软件来源真实性：SoftwareSource{IsOfficial、HasChecksum、SignedBinary} 三项全为真才使用。
17. 不信任无法审计的二进制可执行文件，警惕破解程序索要管理员权限、以及通过伪造更新机制持久化的行为。

适用边界 · 注意事项

• 不适用于已确认来源可信、且带校验和与数字签名的官方软件或开源项目。
• 不要仅凭单个关键词就下结论，必须多项指标综合评分后再判定。
• 不要在非隔离环境（生产机、个人主机）中运行或验证破解样本。