恶意域名实时检测 — 第三方黑名单自动匹配 + 主动阻断

工作原理

PCAPdroid 定期下载和更新第三方安全黑名单（包含恶意域名和 IP 地址），抓包时实时比对每条连接的目标。命中黑名单时：

• 弹出系统通知，显示哪个应用连了哪个恶意域名/IP
• VPN 模式下自动阻断该连接（Root 模式不阻断）
• Connections 里该连接显示红色恶意标记 + 禁止图标

第三方黑名单来源

PCAPdroid 使用多个社区维护的安全黑名单，包括但不限于（以官方最新为准）：

• 扫描器、暴力破解来源的 IP 列表
• 已知恶意软件 C2 域名
• 钓鱼网站域名
• Spam、Ransomware、Spyware 来源 IP

黑名单分为静态规则（基于历史感染数据）和动态规则（蜜罐自动生成的新型威胁）。

查看状态与手动更新

汉堡菜单 → Malware Detection 进入管理面板，分三页：

• Status 页：总览。绿色 ✓ = 当前抓包未发现恶意连接；红色 ⚠️ = 已检测到恶意流量。下方卡片分别显示黑名单更新状态、上次更新时间、当前生效的 IP 规则数和域名规则数
• Blacklists 页：每个黑名单的单独状态、规则数量、上次更新时间。点进去可以手动逐条查看规则；顶栏刷新图标可以手动触发全部黑名单更新
• Whitelist 页：误报白名单。如果检测结果里有正常域名被误报，长按那条连接 → 选 Whitelist，可以按 IP、域名或整个应用级别加入白名单

<img src="images/malware-status.jpg" alt="恶意检测状态面板" title="恶意检测状态总览" />

<img src="images/blacklists-status.jpg" alt="黑名单列表" title="各黑名单单独状态" />

测试检测是否生效

PCAPdroid 官方推荐用 internetbadguys.com 做快速测试：这是一个专门为验证防火墙/恶意检测设计的"安全坏站"，访问它应该触发恶意检测通知并被自动阻断。如果没有触发，说明功能没有正确启用或黑名单未更新。

关闭阻断模式

在某些场景下你想只检测但不阻断（比如排查、学习、或某些开发测试），可以在设置里把恶意检测切换为仅检测模式——只通知、不阻断。默认是检测+阻断模式。

自动更新机制

PCAPdroid 每天自动尝试更新一次全部黑名单。如果网络条件不允许或部分更新失败，Status 页的「Updated blacklists」卡片会显示成功/失败数量，手动刷新可以重试。

重要声明

PCAPdroid 恶意检测是辅助工具而非完整安全解决方案。作者明确声明不对检测能力的完整性和准确性做保证，无法对使用本功能导致的任何直接或间接损害负责。