Potential malicious HMCL package distributed through download source

[YAN137852]

您好，HMCL 开发者。

我最近在下载 HMCL 时，发现了一个疑似恶意样本，希望反馈给项目组确认。

事件经过：

1. 我通过搜索引擎搜索 HMCL。
2. 点击搜索结果进入下载页面。
3. 下载得到 hmcl.zip（约21MB）。
4. 解压后发现其中包含：

• HMCL-3.13.2.exe（约506KB）
• dsetup.dll（约22.7MB）
• dsetup_orig.dll（约94KB）

正常情况下，我认为 HMCL 不应该携带这两个 DLL，因此进行了进一步分析。

目前获得的信息如下：

【360 云沙箱】

运行后释放：

C:\Users\Administrator\AppData\Local\Temp\001EADA3.exe

文件大小：

9766649 Bytes

SHA256：

972a101ff01ef7521c59547afeab64bfaaf95ab5cc4284c01895b5daa10f8d43

360 将该文件识别为：

QVM20.1.F3D2.Malware.Gen

VirusTotal 当前只有三个引擎报毒。

另外，

原始 ZIP 中的 dsetup.dll 大约22MB，
疑似存在 DLL Hijacking（DLL 劫持）行为。

下载地址为：

https://start-download.giize.com/HMCL/6fgztyk304iyjkaol39q1

我无法确认：

• 该下载源是否属于 HMCL 官方；
• 是否为官方镜像；
• 或下载链路是否遭到篡改。

因此希望项目组协助确认。

如果需要，我愿意继续提供原文件

如果确认不是官方发布，希望能够提醒其他用户，避免更多人受到影响。

感谢 HMCL 项目的开发和维护。

[3gf8jv4dv]

你应该详细阐述，用了哪个搜索引擎、点击了哪个「搜索结果」。

而且这个 HMCL-3.13.2.exe 和 HMCL 八竿子打不着，是 DirectX 安装程序。dsetup.dll 非常可疑。

[YAN137852]

使用的是电脑端的Edge浏览器 必应搜索引擎 第一个结果为正确的网站 就是官方的 我往下看了一眼 发现了底下有一个一模一样的网站 只是后缀是.cn 就打开查看 界面与官方的非常不一样 我就点了下载查看 下载后的压缩包大小是20多兆 要远远比官方的大 我想这应该是最近的流行的银狐吧 https://hmcl.io/cn/ 这个是网址 红笔圈住的就是那个网站

[YAN137852]

使用的是电脑端的Edge浏览器 必应搜索引擎 第一个结果为正确的网站 就是官方的 我往下看了一眼 发现了底下有一个一模一样的网站 只是后缀是.cn 就打开查看界面与官方的非常不一样 我就点了下载查看 下载后的压缩包大小是20多兆 要远远比官方的大 我想这应该是最近流行的银狐吧 https://hmcl.io/cn/ 这个是网址 YAN137 ***@***.***

…

---Original--- From: ***@***.***> Date: Tue, Jul 7, 2026 00:22 AM To: ***@***.***>; Cc: ***@***.******@***.***>; Subject: Re: [HMCL-dev/HMCL] Potential malicious HMCL package distributed through download source (Discussion #6323) 你应该详细阐述，用了哪个搜索引擎、点击了哪个「搜索结果」。 而且这个 HMCL-3.13.2.exe 和 HMCL 八竿子打不着，是 DirectX 安装程序。dsetup.dll 非常可疑。 — Reply to this email directly, view it on GitHub, or unsubscribe. Triage notifications, keep track of coding agent tasks and review pull requests on the go with GitHub Mobile for iOS and Android. Download it today! You are receiving this because you authored the thread.Message ID: ***@***.***>

[YAN137852]

抱歉 我少加了一个图片 红笔圈住的就是那个网站 YAN137 ***@***.***

…

---Original--- From: ***@***.***> Date: Tue, Jul 7, 2026 00:22 AM To: ***@***.***>; Cc: ***@***.******@***.***>; Subject: Re: [HMCL-dev/HMCL] Potential malicious HMCL package distributed through download source (Discussion #6323) 你应该详细阐述，用了哪个搜索引擎、点击了哪个「搜索结果」。 而且这个 HMCL-3.13.2.exe 和 HMCL 八竿子打不着，是 DirectX 安装程序。dsetup.dll 非常可疑。 — Reply to this email directly, view it on GitHub, or unsubscribe. Triage notifications, keep track of coding agent tasks and review pull requests on the go with GitHub Mobile for iOS and Android. Download it today! You are receiving this because you authored the thread.Message ID: ***@***.***>

[3gf8jv4dv]

用 Bing 确实能搜到。网站像是 vibe 出来一般，显然是假网站。

噫…… 但是 Google、百度之类搜不出来。

[YAN137852]

这两个我是不用 我今天晚上是想起来忘记装这个启动器了 就去浏览器里搜索了 才发现的这个事 这个假网站做得有点高级 跟我印象里的网站不一样 我才感觉到不对

[burningtnt]

该网站不是 HMCL 官方维护的，且 HMCL 不应携带 dsetup.dll 和 dsetup_orig.dll，请注意辨别！

[YAN137852]

这个清楚 我昨天刚给提交火绒和360 希望这个假网站尽快消失 万一有人被骗了 可就不好了

[PVPGOOD]

近期在下载hmcl时也注意到了这个问题 并且 在 google, bing 等 seo 搜索权重还挺高的 似乎是近期才出现的
恶意网站为 "https://hmcl dot cc"