（卡巴斯基+云沙箱测试分析）现在的激活软件，到底有没有危险性？

SakuraLuo25

吐槽：现在就只有office tools plus靠谱了，作者也是良心，因为这个激活工具完全可以打开杀毒软件进行操作，完全没有任何问题，数字签名也是有效的，也比较新

而且别的激活工具，甚至不是靠主动防御Kill病毒的，基本都是靠病毒库，或者拉黑，这就说明这些早就是已经入库的病毒，于是我做了一个浅浅的分析，就是用了很初级的工具对这些软件的行为，MD5，SHA256，VT的多引擎扫描进行了分析，至于别的专业级工具我也没有，所以就先简单的看一下吧


我只找了两个比较常用的，一个是激活Windows的，一个是激活Adobe的，至于激活Office使用Office tools就行，良心多了

看看现在别的激活工具吧，我把他们放在了云沙箱上看了一眼，检测了一下，基本上全都有恶意行为，我也不清楚这到底是真的危险还是误报

首先来看看HEU KMS 42.3.1

首先是Kaspersky单杀HEU

事件: 我们发现可能会被入侵者利用以破坏您的计算机或个人数据的应用程序
用户: CIALLO\Ciallo
用户类型: 发起者
应用程序名称: explorer.exe
应用程序路径: C:\Windows
组件: 文件反病毒
结果描述: 检测到
类型: 可能会造成损害的软件
名称: UDS:HackTool.Win32.KMSAuto.gen
精确度: 确切
威胁级别: 中
对象类型: 文件
对象名称: HEU_KMS_Activator_v42.3.1.exe
对象路径: C:\Users\Ciallo\Desktop
对象的 MD5: C0E634BFBE34C9A4A6FA46E69BA104DA
原因: 云保护







红彤彤一片啊



创建的可执行文件

然后根据MD5
ea0692ef39683f6580f40ba27cde480a 进行分析，我发现恶意类型属于HACKTOOL，隶属家族Malgent


还有SHA256
b4e3183b3328d310961800b3ab0b9721bdf22190 同样的HACKTOOL，Malgent，估计部分杀毒软件已经拉黑了



目前来看，HEU的危险性是比较高的，虽然我不能判定其就是病毒，但我我看到Hacktool的时候我就觉得有点不对劲，而且这个MD5和SHA256也是被一堆杀毒软件拉黑的东西


事件: 我们发现可能会被入侵者利用以破坏您的计算机或个人数据的应用程序
用户: CIALLO\Ciallo
用户类型: 发起者
应用程序名称: explorer.exe
应用程序路径: C:\Windows
组件: 文件反病毒
结果描述: 检测到
类型: 可能会造成损害的软件
名称: UDS:HackTool.Win32.KMSAuto.gen
精确度: 确切
威胁级别: 中
对象类型: 文件
对象名称: HEU_KMS_Activator_v63.2.0.exe
对象路径: C:\Users\Ciallo\Desktop
对象的 MD5: 8F331BCBF428291F36EA59467A4E080B
原因: 云保护

这个是63版本的杀毒数据，也是直接入库了，直接杀

然后接着看看GENP Adobe激活器，以下是图，反正我已经信不过了，不过如果有大佬的话，可以解释一下这到底是啥玩意









GenP这个说是话我也是有点看不懂了，因为有两个Ip地址全部指向的是微软，我感觉微软的域名应该是不会有什么问题，但这个软件也检测出来Hacktool了，而且最重要的一点是，激活完Adobe之后必须保持GenP在电脑上存在，如果直接删除，会导致Adobe激活失效或者出现其他的问题，我感觉这可能是病毒的什么自保方式

这些流行的激活软件都被拉黑了，而且基本上所有的主流杀毒软件都会报毒，当然肯定不是无缘无故被拉黑的，因为反观Office tools，人家激活Office就不会释放这么多乱七八糟的文件，而且还有官网，还有教程，不像别的激活工具，直接丢到Github上，还没有讨论区

最后附上一张很良心的Office tools plus.......真难得啊，沙箱自带解压功能，可以自动解压运行分析




最后是网盘地址，可以去看看分析一下，里面是上述提到的三个激活工具

https://endpointera.lanzoul.com/b01397d8wf
密码:bj20

神龟Turmi

很有意思的是 开源的几个激活工具（除了windows defender）都是基本不会报毒的
比如你可以试试

1. iex (curl.exe -s --doh-url https://doh.pub/dns-query https://get.activated.win | Out-String)

复制代码

这个开源脚本里的（HWID/Ohook/TSForge）我试过好几个安全软件都没有报毒


声明：分享该脚本仅供学习，请勿在任何商业用途中使用，否则如果收到微软的律师函责任自负


EDIT：我觉得卡巴也没有报错。。。破解本来就是一种hacktool

SakuraLuo25

神龟Turmi 发表于 2025-9-27 10:57
很有意思的是 开源的几个激活工具（除了windows defender）都是基本不会报毒的
比如你可以试试
这个开源 ...

我去试了试，卡巴直接给我删了。。。还没下载完就直接删了

事件: 下载被拒绝
用户: CIALLO\Ciallo
用户类型: 发起者
应用程序名称: firefox.exe
应用程序路径: C:\Program Files\Mozilla Firefox
组件: 安全浏览
结果描述: 已阻止
类型: 可能会造成损害的软件
名称: HEUR:HackTool.BAT.Alien.gen
精确度: 启发式分析
威胁级别: 中
对象类型: 文件
对象名称: TSforge_Activation.cmd
对象路径: https://codeload.github.com/luxi ... -Version/Activators
对象的 MD5: 5B08F7ED132BA1337D6F36F4F48C8C84
原因: 机器学习
数据库发布日期: 今天，2025/9/27 上午4:48:00

但是你提供的激活工具其实我还是信的，但是网上流行的HEU我是真的信不着了

关了卡巴斯基又试了一下，发现里面都是批处理程序，这个应该就是调用本身Windows的功能进行的激活，所以才比较安全

tomochan

当卡巴病毒名报HackTool的时候他就已经在告诉你这不是病毒了....

SakuraLuo25

tomochan 发表于 2025-9-27 11:08
当卡巴病毒名报HackTool的时候他就已经在告诉你这不是病毒了....

所以为啥，多的我也不懂，目前我也只能通过报的数据来看安全性

zfc234

神龟Turmi 发表于 2025-9-27 10:57
很有意思的是 开源的几个激活工具（除了windows defender）都是基本不会报毒的
比如你可以试试
这个开源 ...

even shorter

irm https://get.activated.win | iex

神龟Turmi

zfc234 发表于 2025-9-27 11:20
even shorter

irm https://get.activated.win | iex

江苏的dns递归过滤（js96110）把这个域名拦了
我不确定其他地方拦没拦 所以加了doh

神龟Turmi

SakuraLuo25 发表于 2025-9-27 11:01
我去试了试，卡巴直接给我删了。。。还没下载完就直接删了

事件: 下载被拒绝

不是信不信谁的问题
这是开源的 直接看源代码就好了
https://github.com/massgravel/Microsoft-Activation-Scripts
不像HEU 把github当下载站用 只有二进制没有源代码

PS：

1. 用户: CIALLO\Ciallo

复制代码

SakuraLuo25

神龟Turmi 发表于 2025-9-27 11:25
不是信不信谁的问题
这是开源的 直接看源代码就好了
https://github.com/massgravel/Microsoft-Activat ...

wwww原来你也知道千恋万花这个梗
Ciallo～(∠・ω< )⌒★

神龟Turmi

SakuraLuo25 发表于 2025-9-27 11:39
wwww原来你也知道千恋万花这个梗
Ciallo～(∠・ω< )⌒★

柚子厨蒸鹅心（