同事图省事，从网盘下了个Acrobat的破解补丁，替换掉安装目录里的一个dll，用了两个月没事，某天开始浏览器主页被改、右下角弹广告。查出来是那个补丁里带的加载器，跟PDF软件本身没关系。

补丁通常改了什么

所谓破解补丁，多数是替换amtlib.dll这类授权校验模块，或者改hosts屏蔽激活服务器。替换dll会让文件签名失效，Acrobat的自我保护机制会反复把它改回去，于是有人再给你一个常驻进程去盯着。多出来的这个进程，就是风险入口。

常见的三类风险

  • 捆绑加载器：补丁包里塞个dll，开机自启，后续远程下发广告甚至挖矿程序。
  • 文档与账号泄露：改过的程序能读到你的Adobe账号密码和打开过的合同文件。
  • 无法更新：屏蔽了更新域名，PDF解析漏洞补不上，一个恶意PDF就能执行代码。

怎么判断机器已经被动过

看Acrobat安装目录下amtlib.dll的修改时间和数字签名，签名无效或时间对不上就是被替换过。任务管理器里查有没有名字随机的常驻进程，启动项里查当前用户下的Run键。浏览器主页和默认搜索被改，基本可以确认中招。用微软的Autoruns逐项看，比任务管理器全得多。

清理和替代方案

先卸载Acrobat，卸载后用官方清理工具AcroCleaner清残留，再全盘杀毒。要免费看PDF，Edge和Chrome自带阅读器够用；要批注和填表，PDF24、SumatraPDF都能干；要编辑和OCR，Foxit、WPS的PDF模块按年付费比订阅便宜。学生和教师可以走Adobe的教育优惠，价格差不少。

已经用破解版处理过合同、身份证扫描件的，建议把相关密码改一遍，别只清软件。企业环境里装破解软件被审计到，赔偿金额远高于买授权的钱，这笔账不难算。