蹲了一宿看免费压缩软件后台，发现它解压前先偷传文件列表

前两天淘了个冷门解压小工具，界面挺干净，免费无广告，想着终于找到个能替代 Win 解压缩的备胎。结果昨晚拿 Process Monitor 蹲了一下，好家伙，解压前它先把压缩包里的文件列表往一个陌生 IP 传了一遍，我当场就精神了。

先说我怎么发现的

习惯性开着 Process Monitor 过滤进程名，本来只想看它解压时读哪些临时文件。等等，发现一个 TCP Send 操作，目标端口 443，域名解析到一个 cloudfront 的地址。我一开始以为是检查更新，但解压动作还没开始，它就已经发了 3KB 左右的包。把网络包抓下来一看，里面是明文的文件名和路径列表，压缩包里那个 2024-项目资料/合同扫描件.pdf 赫然在列。

然后我翻了它的计划任务

解压完我没急着关，打开任务计划程序看了看，果然多了一个 UpdaterCheck 的任务，触发器是每天凌晨 3 点，动作指向它安装目录下的一个 update.exe。我点开属性看了下，参数里带了个 /silent，意思是静默运行。再查注册表 Run 键，倒是没有开机自启，还算收敛。

我的判断

你说它传文件列表要干嘛？我猜是统计用户常用文件类型做产品分析，但没在隐私政策里写清楚就是耍流氓。而且那个 cloudfront 地址我用 nslookup 查了，没有对应的备案信息，鬼知道数据最终落到哪。

怎么处理的

1. 把 update.exe 重命名成 update.exe.bak，计划任务直接删了。
2. 用火绒的联网控制把这个进程的出站规则全禁了。
3. 重新解压了一个测试包，Process Monitor 里再没看到 Send 操作，解压功能正常。

给想试的兄弟提个醒

免费软件不是不能用，但装完先别急着双击压缩包。第一步开 Process Monitor 过滤进程名，看它启动时读了哪些注册表和文件；第二步看计划任务里有没有偷偷加的东西；第三步抓个包看它往外发什么。这三步走完，基本能摸清它想干嘛。

我目前还在用 Win解压缩 当主力，这货只当个备用，毕竟有些冷门格式它确实能解。但后台小动作这事儿，咱得心里有数。

问一句：你们装完新软件会先看计划任务吗？还是直接裸奔用？有没有遇到过更隐蔽的偷传行为，比如藏在 DLL 里那种？