今天搜索OpenClaw下载的时候差点中招，发现一个钓鱼网站，提醒大家注意。
事情经过
在搜索引擎搜"OpenClaw下载"，排在前面的有一个网站，域名是openclaw-download.com（非官方域名）。
网站做得跟官网一模一样，连logo和布局都是复制的。点击下载按钮后，下载的不是官方安装包，而是一个捆绑了挖矿程序的修改版。
如何识别
钓鱼网站特征
- 域名不对：官方域名是
openclaw.com，任何变体都要警惕 - HTTPS证书：钓鱼网站的证书是Let’s Encrypt颁发的免费证书（不是说LE有问题，但正规大站通常用商业证书）
- 下载链接：指向的是一个第三方网盘而非GitHub Releases
- 文件大小：比官方包大了不少（因为捆绑了恶意代码）
安全下载渠道
- 官方GitHub仓库的Releases页面
- 官方网站
openclaw.com - 包管理器：
pip install openclaw
捆绑软件分析
我在虚拟机里分析了下载的文件：
- 正常的OpenClaw安装包 + 一个隐藏的挖矿程序
- 安装时会创建一个系统服务，开机自启动
- CPU占用会保持在20-30%左右，不太容易察觉
建议
- 只从官方渠道下载，不要轻信搜索引擎的广告结果
- 检查文件hash：官方Releases页面有sha256，下载后校验
- 用虚拟机测试：不确定的软件先在虚拟机里跑
- 装杀毒软件：Windows Defender最起码要开着
已经向搜索引擎和域名注册商举报了这个钓鱼网站。
大家小心，传播出去提醒更多人。