什么值得做
GitHub 开源项目 · 11-6 写
AssassinCreator/steam-stash-value-report-card · AssassinCreator

4 天 800 个 star、11 次下载:一个 Steam 库存估值仓库,其实是投毒包

它是什么 一个自称在终端给 Steam 库存估值、生成分享卡片的 Python 工具,实际下载包是伪装成签名程序的恶意软件。

为什么火了 它没有真火:star 和 fork 是一批假账号刷出来的,目的是骗 GitHub 搜索和热门榜,把会下载 Windows 程序的 Steam 玩家引过去;真实下载只有 11 次。

E你可以怎么跟 别跟。能学的只是怎么认出这类刷星投毒仓库;真想做 Steam 工具,估值已被百万用户的免费插件和交易站占满,做就做源码可验证、不发来路不明 exe 的项目。

E 级:这是刷星加投毒的恶意仓库,没有任何真实增长可复制;照着刷只会被封号,真实需求又早被免费老产品占满。 还没什么人知道
数据(每天更新) · 建库 2026-11-02 · 791 星
GitHub · 星数
50060070080011-0311-0411-0511-0611-0711-08791
数据 2026-11-03 → 2026-11-08(6 天,6 次观测)。10-28 以前的点来自 deeply / 存档补录,不是每天都有

GitHub 上一个叫 steam-stash-value-report-card 的 Python 项目,建库第二天就有 575 个 star,4 天涨到 800 多,看上去是一个冷启动教科书。拆开看,star 是刷的,下载区那个「已签名、不报警」的 Windows 包是一个借 Notepad++ 签名程序加载恶意 DLL 的投毒包。这一篇讲清楚它是怎么装成热门项目的、怎么一眼认出这类仓库,以及为什么它对想拿 star 的你没有可跟的东西。

一个 0 粉丝的账号,第一天 575 个 star

2026 年 11 月 2 日凌晨(UTC),账号 AssassinCreator 建了这个仓库。到 11-03 它有 575 star、50 fork,之后每天 +120、+44、+63,11-06 白天到 802(GitHub 当天显示 828)。

这个账号 2026-08-14 注册,0 粉丝、0 关注,名下另一个仓库叫 uzgplmqw,一串随机字母,0 star。没有推文、没有 Reddit 帖、没有 HN,X 上近 30 天搜「stashcard steam」一条都没有。一个没人认识、没有任何外链的新号,第一天拿 575 star,找不到一条自然来源能解释。

它自称是什么

README 写的是「Stashcard」:在终端里给你 Steam 账号里的 CS2、Dota 2、TF2、Rust 库存估值,对比 Steam 市场和各家现金交易站的价格,输出一张可以分享的「成绩单」图片。

README 做得很像样:徽章、动图、十几张示例卡片、CHANGELOG、CONTRIBUTING、CI 配置,src/stashcard/ 里有二十多个 Python 文件,单个文件三四十 KB。下载区只有一个入口,一个 zip,下面一句:

Main.exe is code-signed, so Windows starts it without a warning.

——「已代码签名,Windows 打开不会报警」。这句话本身就是最大的破绽。

那个「已签名」的 exe 是什么

v1.0.1 的 zip 约 1.58MB,里面只有三个文件(静态查看,没有运行):

文件实际是什么
Main.exe版本信息写着「WinGup for Notepad++」「Copyright 2018 by Don HO」,带 Notepad++ 的 DigiCert 签名——就是 Notepad++ 官方的自动更新程序改了个名
gup.xml这个更新程序的原版配置文件
libcurl.dll5.7MB,无签名,编译时间 11-03 13:59,比发布早半小时;节表里有 .3c0714 这类不正常的名字,5MB 多的数据像是加密载荷

这个更新程序启动时会加载同目录下的 libcurl.dll。签名是真的,所以 Windows 不弹警告;真正跑起来的是旁边那个 DLL。这叫 DLL 侧加载,是常见的投毒手法。包里没有 Python、没有图片库、没有字体——仓库里那二十多个源码文件和这个包毫无关系,只是摆着看的。DLL 具体是哪种木马没做动态分析,未核实;用来投毒这一点,证据是够的。

选 Steam 库存这个题也不是随便选的:CS2 皮肤本身值钱,偷走 Steam 会话就能直接转卖库存(推断)。

800 个 star 是怎么来的

  • star 和使用对不上:828 star,watchers 0、issues 0,Release 下载 11 次(GitHub,11-06)。star 是下载的 75 倍,真有人用的工具不是这个比例。
  • fork 的人是一个号池:抽 10 个 fork 账号,9 个是 2026 年注册的,0 到 1 个粉丝,名字像 kader246800-gif、wakaoliver653-boop、trishakhan8322-cyber。它们名下全是同一批假工具的 fork:pc-game-fps-doctor、valorant-fps-lag-fixer、osint-people-checker、stolen-crypto-tracer、HydraSoft-DLL-Hijack-Scanner-ByPass-UAC……有的上游已经 404,大概率被 GitHub 封了。
  • 兄弟仓库:FollowerDemolish/steam-inventory-tracker-valuator,账号和 AssassinCreator 同一天、相隔 6 分钟注册,329 star,下载包 1.57MB,和这个几乎一样大,下载 3 次。MythicHokageRepel/steam-inventory-value-desktop,11-05 建库当天就 397 star,下载 8 次。还有至少 6 个描述一字不差的 task-bar-hero-helper-light-version,各 35 到 52 star。
  • 时间是编的:只有两个 commit,作者时间写的 10-08 和 10-18,仓库却是 11-02 才建的;README 里的安装命令指向一个叫 steam-account-value-checker 的仓库,根本不存在——模板换名没换干净。

刷这些 star 是给谁看的?GitHub 搜索,和按 star 增速排热门的聚合站。hotrepo.ai 已经把它当热门收进去了。今年 7 月 BleepingComputer 等报道过一场叫 FakeGit 的行动,用约 6,600 个一次性账号建了约 7,600 个假仓库,同样是「精致 README + 刷 star」投放窃密木马(hexnode 2026-07-27 汇总);Trend Micro 今年也报过用假 GitHub 页面投放的 BoryptGrab。那两次用的加载器和这里不一样,是不是同一伙人不能确定,只是同一类玩法。

真实的需求早就被做满了

「看看我 Steam 库存值多少钱」是真需求,但早有人免费做好了,而且不用下载 exe:

产品在哪规模
Steam Inventory HelperChrome 插件,2014 年起100 万用户,4.86 分 / 1.8 万评分
Steam-Economy-Enhancer开源用户脚本,2016 年起2,040 star
Skinpock、tradeit.gg、Pricempire、CSFloat交易站自带的估值页输入 Steam ID 就出结果,搜索排在最前面

所以就算有人真的做一个干净的「Steam 库存成绩单」,也是挤进一个十年前就有百万用户免费工具的地方。

如果是你

一句判断:别跟。这里没有一个真实起量的项目,只有一个把刷量和投毒包装成热门的样本;800 star 是假的,下载 11 次才是真的。

适合谁:没有人适合「跟」。值得看的是两类人——一是在 GitHub 上找项目、会顺手下载 Windows 包的开发者,二是自己在做热门榜、趋势站、「本周新星」盘点的人,别把这类仓库推给读者。

不适合谁:想照着「4 天 800 star」的曲线复制增长的人。这条曲线是买来的号池堆的,你照做只会被 GitHub 封号,而且刷出来的 star 带不来关注者和名声,恰好是你做开源想要的东西。

怎么认出这类仓库(下载任何 exe 之前过一遍):

  1. 账号 0 粉丝、只有一两个仓库,却在几天内有几百 star。
  2. star 几百,watchers 是 0、issues 是 0,Release 下载数不到 star 的 5%。
  3. 点开几个 fork 者:名字带 -gif、-boop、-cyber 这类自动后缀,名下全是「FPS 优化」「绕过 UAC」「加密货币追踪」「游戏库存估值」这种会让人主动下载 Windows 程序的题目。
  4. README 主动强调「已签名、不报警」「便携版、无需安装」;下载包里的 exe 版本信息和项目名对不上,旁边放着一个大得离谱的 DLL。
  5. 源码是 Python,下载的却是不带运行时的 exe;commit 时间早于建库时间;README 里的链接指向不存在的仓库。

如果你真想做 Steam 工具拿 star:不要做估值,那已经是 Steam Inventory Helper 和交易站的地盘。真正能拿 star 的做法是公开、透明:源码能直接 pip install 跑、不发 exe、或者发了就用 CI 从源码构建并附上校验值——在一个被假仓库污染的题目里,「可以验证是干净的」本身就是卖点(推断)。

什么情况说明看错了:这个仓库和它的兄弟仓库过几周之后出现了真实的 issue、真实的用户讨论,Release 下载数涨到和 star 相当,且有人从源码复现出了同样的程序——那说明它是一个被冤枉的真项目。按现在的证据,这个可能性很小。

GitHub 仓库 ↗

研究底稿:竞品表、获客证据、完整研究报告
竞品
名字在哪上线规模它和这家不同在哪
Steam Inventory HelperChrome2014-06100 万用户,4.86 分/1.8 万评分(chromestore 库)真产品,浏览器内看库存价格,无需下载 exe
Nuklon/Steam-Economy-Enhancer开源2016-112,040 star(github 库)真开源用户脚本,增强 Steam 库存/市场页
Skinpock / tradeit.gg / Pricempire / CSFloat 库存估值页网页多年前交易站自带免费工具,SEO 排名靠前输入 Steam ID 即出报告,零安装
Steam GG.deals price panelChrome2026-04577 用户(chromestore 库)小众真插件
用户从哪来
  • 查实 刷 star/fork(账号池):0 粉丝新号建库首日 575 star;抽查 10 个 fork 者 9 个 2026 年注册、0-1 粉丝、自动生成式用户名,仓库全是同批假工具 fork(pc-game-fps-doctor、osint-people-checker 等,部分上游已 404)
  • 查实 GitHub 搜索与热门聚合站:hotrepo.ai 已收录;我们的召回也按 star 增速收进来
  • 查实 选题 + 签名程序规避警告:Main.exe 实为带 Notepad++ DigiCert 签名的 gup.exe,README 强调'code-signed, starts without a warning';libcurl.dll 无签名、发布前半小时编译、含非标准节与 5MB 加密数据
  • 查实 批量养号:账号 2026-08-14 注册并建随机名占位仓库 uzgplmqw;兄弟账号 FollowerDemolish 同日相隔 6 分钟注册

AssassinCreator/steam-stash-value-report-card:不是产品,是刷星的恶意软件投放仓库

研究日期 2026-11-06。结论先说:这个仓库没有"跑出来",是假象。 802 个 star(GitHub API 当天 828)基本是刷的,Release 里的 Windows 便携包也不是仓库里的 Python 代码编出来的,而是"带合法签名的 Notepad++ 更新程序 + 一个恶意 libcurl.dll"——典型的 DLL 侧加载投毒包。它属于一批手法相同的批量假仓库。没有可借鉴的产品经验,能借鉴的只有"怎么识别这类召回"。

1. 它自称是什么

README 写的是 "Stashcard":在终端里给 Steam 账号的 CS2 / Dota 2 / TF2 / Rust 库存估值,对比 Steam 市场和各现金交易所价格,输出可以分享的"成绩单"PNG。README 做得很精致:徽章、动图、十几张示例卡片、CHANGELOG、CONTRIBUTING、CI 配置,src/stashcard/ 里有约 25 个 Python 文件(cli.py 35KB、render/cards.py 48KB)。下载区只有一个入口:steam-stash-value-report-card.zip,原话 "Main.exe is code-signed, so Windows starts it without a warning"。

2. 证据:Release 包是恶意投放

我下载了 v1.0.1 的 zip(1,581,882 字节,sha256 1805d9ad…cb88a),只做静态查看、没运行,看完已删除。里面只有三个文件:

文件大小实际身份
Main.exe804,688版本信息是 gup.exe / "WinGup for Notepad++" / "Copyright 2018 by Don HO",带 Notepad++ 的 DigiCert 代码签名,PE 时间戳 2024-10-25——就是 Notepad++ 官方更新程序改了个名
gup.xml4,608WinGup 的配置文件原样
libcurl.dll5,747,064无签名,PE 时间戳 2026-11-03 13:59(发布前半小时编译);节表里有 .3c0714、.38f8ae、.rsrc2 这类非标准节,.rdata 有 5.2MB(典型的加密载荷);导出表只是假装成 curl 的函数名

gup.exe 启动时会加载同目录下的 libcurl.dll——这就是 DLL 侧加载:用一个合法签名的程序骗过 SmartScreen("Windows starts it without a warning"),真正执行的是攻击者的 DLL。包里没有任何 Python 运行时、Pillow、字体等——仓库里那堆源码和发布包毫无关系,只是诱饵。具体是哪个家族(窃密木马 / 加载器)我没做动态分析,未核实;但用途是投毒这一点证据充分。

同类公开报道:Island / BleepingComputer 2026-07 披露的 FakeGit 战役用约 6,600 个一次性账号建了约 7,600 个假仓库,靠"精致 README + 伪造 star"投放 SmartLoader / StealC(来源:hexnode.com/threat-watch/fakegit-malware-github-repositories-smartloader-stealc,2026-07-27);Trend Micro 2026 年报道的 BoryptGrab 也用假 GitHub 仓库投放窃密木马(trendmicro.com/en/research/26/c/boryptgrab-stealer-targets-users-via-deceptive-github-pages.html)。FakeGit 用的是 LuaJIT 加载器,和这里的"签名 gup.exe + libcurl.dll"不一样,所以不能确定是同一伙人,只是同一类玩法。

3. 证据:star 和 fork 是刷的

  • 账号:AssassinCreator 2026-08-14 08:12 注册,0 粉丝、0 关注,另一个仓库叫 uzgplmqw(随机字母,0 star)。同类仓库 FollowerDemolish/steam-inventory-tracker-valuator 的账号 2026-08-14 08:06 注册——同一天前后六分钟,明显是批量注册后"养"了两个多月再用(GitHub API)。
  • 增长曲线:2026-11-02 00:40 建库,到 11-03 我们的库记录已有 575 star / 50 fork,之后 695 → 739 → 802(github 库 repo_day)。一个 0 粉丝、没外链的新号,第一天就 575 star,没有自然来源能解释。
  • star 与使用不成比例:828 star,但 watchers(subscribers)= 0,issues = 0,Release 下载数只有 11(GitHub API,2026-11-06)。真有人在用的工具不会是 star 是下载的 75 倍。
  • fork 账号:抽查 10 个 fork 者,9 个注册于 2026 年(多数是 2026-09 至 10 月),0–1 个粉丝,用户名是 kader246800-gif、wakaoliver653-boop、dsathi558-spec、trishakhan8322-cyber、abunayem5660-eng 这种 GitHub 自动生成后缀的样式。它们的仓库列表几乎全是同批假工具的 fork:pc-game-fps-doctor、valorant-fps-lag-fixer、osint-people-checker、stolen-crypto-tracer、HydraSoft-DLL-Hijack-Scanner-ByPass-UAC、windows-drive-space-finder、steam-inventory-value-desktop……其中 Centiplatrap/pc-game-fps-doctor 的上游已经 404(大概率已被 GitHub 封)。这是一个专门给假仓库刷 fork/star 的账号池。
  • 提交伪造:只有两个 commit,作者时间写的是 2026-10-08 和 10-18,但仓库 11-02 才建;README 里 pipx install git+https://github.com/AssassinCreator/steam-account-value-checker.git 指向一个不存在的仓库——模板换名没换干净。
  • stargazers 列表接口返回 404(正常公开库不会),无法逐个核对 star 账号。

4. "竞品"和跟风者

真实的 Steam 库存估值需求确实存在,而且早就被做满了:

名称在哪上线规模和本仓库的不同
Steam Inventory HelperChrome2014-06100 万用户,4.86 分 / 1.8 万评分(chromestore 库)真产品,浏览器里直接看库存价格,无需下载 exe
Steam-Economy-Enhancer (Nuklon)开源2016-112,040 star(github 库)真开源用户脚本,增强 Steam 库存/市场页
Skinpock、tradeit.gg 库存计算器、Pricempire、CSFloat 等网页多年交易站自带的免费估值页,SEO 排在前面(Jina 搜索结果)输入 Steam ID 就出报告,零安装
Steam GG.deals price panelChrome2026-04577 用户小众真插件

同一批次的"跟风者"其实是同一伙人的兄弟仓库,不是独立模仿:

  • MythicHokageRepel/steam-inventory-value-desktop:2026-11-05 建库,当天就 397 star / 30 fork(github 库),账号 2026-08-12 注册、0 粉丝;Release 是 6.6MB 的 Glasscase-2.5.0-portable-x64.exe,下载 8 次。
  • FollowerDemolish/steam-inventory-tracker-valuator:329 star / 0 fork,Release 同样是 zip,1,574,301 字节(和本仓库的 1,581,882 几乎一样大),下载 3 次。
  • KL93992ycan / ArrowIgnite83 / MomentumNautilus / NebsensorMind 等至少 6 个 task-bar-hero-helper-light-version 同名仓库,描述一字不差,35–52 star(github 库)。

5. 增长手段拆解(攻击者视角)

  1. 批量养号:提前两三个月注册账号,建一个随机名占位仓库,降低"新号"嫌疑。
  2. 选题:Steam 库存估值、FPS 优化、OSINT、加密货币追踪、绕过 UAC——全是"会主动下载 Windows exe 的人"关心的话题,其中 Steam 玩家库存里的皮肤本身就值钱,窃密后可直接盗号转卖皮肤。
  3. 伪装成熟项目:AI 生成的完整 Python 源码、精美卡片图、徽章、CI、CHANGELOG,让扫一眼的人和 GitHub 搜索都觉得是真项目。
  4. 刷 star / fork 上 GitHub 搜索和聚合站:fork 账号池刷数据;hotrepo.ai 这类聚合站已经把它当热门收录(Jina 搜索命中 hotrepo.ai/AssassinCreator/steam-stash-value-report-card),本次也被我们的召回系统收进来——刷星的目的正是骗过这类按 star 增速排行的系统。
  5. 签名程序侧加载:利用合法签名的 Notepad++ gup.exe 规避 Windows 警告,README 还主动强调"已签名,无警告"。
  6. 钱从哪来:窃取浏览器凭据、Steam 会话、加密钱包后变现(推断,未核实具体家族)。

在 X(x-radar 近 30 天语料搜 "stashcard steam" 0 条)、Reddit、HN 上没找到任何真实讨论。

6. 结论

  • 它为什么"跑出来":没跑出来。star 增长完全由刷量账号池制造,实际下载 11 次。
  • 差异化:对用户而言没有;对攻击者而言,"差异化"是"签名 exe 免警告 + 选 Steam 玩家这个有钱可盗的人群"。
  • 对我们的意义:召回规则把"新建库、单日暴涨、高 fork/star 比、单仓库账号、Windows 便携包"当成正面信号,恰好是这类假仓库的特征。建议在 github 召回里加过滤:owner 0 粉丝 + 建库 7 天内 star>300 + release 下载数 / star < 5%,或 subscribers_count=0 且 star>200,直接标"疑似刷星/投毒"。

出处

  • GitHub API:repos/AssassinCreator/steam-stash-value-report-card(stars 828、subscribers 0、releases 下载 11)、users/AssassinCreator、forks 列表与 fork 者账号、兄弟仓库 releases(2026-11-06 抓取)
  • Release zip 静态分析(本机,未执行,已删除)
  • 我们的 github 库 repo_profile / repo_day;chromestore 库 item
  • Jina 搜索:hexnode FakeGit 报道、Trend Micro BoryptGrab、hotrepo.ai 收录页
  • x-radar:"stashcard steam" 近 30 天 0 条

文章由 AI 根据公开数据和我们每天采集的数据写成,数字带出处,推断已标明