PUP.Gametool.J

يُعدّ PUP.Gametool.J برنامجًا غير مرغوب فيه يستهدف أجهزة الكمبيوتر التي تعمل بنظام ويندوز. ويرتبط غالبًا ببرامج تشغيل الألعاب أو أدوات التحديث التلقائي، ورغم أنه لا يُصنّف ضمن البرامج شديدة الخطورة، إلا أن وجوده قد يُسبب إزعاجًا وعدم رغبة في استخدامه. وقد رصد باحثو الأمن هذا الاسم منذ أواخر عام 2022، ولا يزال يظهر في عمليات الفحص بشكل منتظم، مما يدل على أنه لا يزال ينتشر بنشاط.

ما يفعله PUP.Gametool.J

يُقدّم برنامج PUP.Gametool.J نفسه كأداة شرعية، وعادةً ما يكون مُضمّنًا كمكوّن تحديث تلقائي أو مُشغّل مرتبط ببرنامج تشغيل اللعبة. بعد تثبيته، قد يعمل في الخلفية دون أن يُظهر أي تفاصيل، كأن يقوم بمهام تحديث أو صيانة دون توضيح وظيفته أو سببها. ومثل العديد من البرامج في فئة البرامج غير المرغوب فيها، قد يأتي مُضمّنًا مع مكونات برمجية إضافية لم يوافق المستخدم صراحةً على تثبيتها، وقد يُظهر سلوكيات نموذجية لهذه الفئة، مثل التشغيل التلقائي عند بدء التشغيل، أو التواصل عبر الشبكة، أو تشغيل عمليات إضافية دون تفاعل واضح من المستخدم. ومن الشائع أن تستخدم هذه الأدوات وظائف النظام المرتبطة بمعالجة العمليات، مما قد يُصعّب على المستخدم العادي تحديدها أو إزالتها يدويًا.

كيف يصل إلى أجهزة الكمبيوتر

كما هو معتاد بالنسبة للبرامج غير المرغوب فيها، لا يصل برنامج PUP.Gametool.J عادةً عبر تحميل مباشر ومتعمد للبرامج الضارة. بل غالبًا ما يكون مُدمجًا مع برامج تثبيت أخرى، خاصةً تلك المتعلقة بأدوات الألعاب، أو برامج تشغيل التطبيقات، أو أدوات التحديث التلقائي. قد يواجه المستخدمون هذا البرنامج بعد تحميل برامج من مواقع غير رسمية أو تابعة لجهات خارجية، أو شبكات مشاركة الملفات، أو حزم التثبيت المُدمجة التي تتضمن مكونات إضافية مُحددة مسبقًا. ولأن شاشات تثبيت البرامج المُدمجة غالبًا ما تُخفي الإضافات الاختيارية ضمن خيارات الإعداد "المخصصة" أو "المتقدمة"، ينتهي الأمر بالعديد من المستخدمين بتثبيت هذه البرامج دون إدراك ذلك تمامًا.

المخاطر التي يتعرض لها المستخدم

نظرًا لانخفاض مستوى خطورته وفقًا لمقياس المخاطر المعتاد، لا يُعتبر برنامج PUP.Gametool.J تهديدًا خطيرًا مقارنةً بالبرامج الضارة عالية الخطورة مثل برامج الفدية أو برامج التجسس. مع ذلك، لا تزال البرامج غير المرغوب فيها تُشكّل مصدر قلق حقيقي. قد تشمل هذه المخاوف عمليات خلفية غير مرغوب فيها تستهلك موارد النظام، ونشاطًا غير متوقع على الشبكة، وتغييرات في سلوك النظام دون موافقة صريحة من المستخدم، وتثبيت مكونات إضافية غير مرغوب فيها. ولأن هذا الملف يفتقر إلى توقيع رقمي، فإن التحقق من شرعيته أكثر صعوبة، مما يزيد من الشكوك حول مصدره والغرض منه.

علامات العدوى

قد يلاحظ المستخدمون برنامجًا يعمل في الخلفية دون أن يتذكروا تثبيته، وغالبًا ما يكون مرتبطًا بتحديثات الألعاب أو وظائف مشغلاتها. تشمل العلامات الأخرى الشائعة لهذه الفئة ظهور عمليات غير متوقعة في إدارة المهام، وإدخالات غير مألوفة في برامج بدء التشغيل، وزيادة نشاط الشبكة في الخلفية، أو ظهور ملفات وآثار ذات صلة في مجلدات النظام دون تفسير واضح.

كيفية الحفاظ على الحماية

لتقليل خطر مواجهة برامج مثل PUP.Gametool.J، نزّل البرامج فقط من مصادر رسمية أو موثوقة، وتجنّب مواقع التنزيل التابعة لجهات خارجية والتي تعيد تجميع برامج التثبيت. اختر دائمًا خيارات التثبيت "المخصصة" أو "المتقدمة" لتتمكن من مراجعة أي مكونات مُضمّنة وإلغاء تحديدها قبل التثبيت. حافظ على تحديث نظام التشغيل وبرامج الحماية، وراجع البرامج المثبتة وعناصر بدء التشغيل دوريًا لاكتشاف أي شيء غير مألوف. كما يُساعد إجراء فحوصات منتظمة للنظام باستخدام برامج حماية موثوقة على اكتشاف البرامج غير المرغوب فيها وإزالتها قبل أن تُسبب مشاكل أخرى.

تقرير التحليل

معلومات عامة

اسم العائلة:	PUP.Gametool.J
حالة التوقيع:	No Signature

عينات معروفة

i

عينات معروفة

يسرد هذا القسم عينات ملفات أخرى يُعتقد أنها مرتبطة بهذه العائلة.

MD5: fa7bbfa1ff157a0bf9b27058c83e0bb8 SHA1: a7be2076fd77ee3bbe83c625a850729eab7e14b6 SHA256: D8CE8634D4F8467F25F4E4D4DE58CA828AE4A979A7A3D1D5C030E6A2C3A5E400 حجم الملف: 1.88 MB,1877504 بايت

سمات الملفات التنفيذية المحمولة لنظام التشغيل Windows

i

سمات الملفات التنفيذية المحمولة لنظام التشغيل Windows

يسرد هذا القسم سمات الملفات الموجودة ضمن عينات من عائلة البرامج الضارة. تُستخرج هذه السمات من مواصفات ملفات Windows PE (الملفات التنفيذية المحمولة) وعلامات النظام المختلفة. تُتيح سمات الملفات التنفيذية المحمولة لباحثي البرامج الضارة فهمًا أعمق لوظائف الملف، وتفاصيل تنفيذه، ونظام التشغيل، وبيئة التشغيل.

• File doesn't have "Rich" header
• File doesn't have exports table
• File doesn't have security information
• File is .NET application
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

أيقونات الملفات

i

أيقونات الملفات

يعرض هذا القسم موارد الأيقونات الموجودة ضمن عينات البرامج الضارة. غالبًا ما تُقلّد البرامج الضارة الأيقونات المرتبطة عادةً بالبرامج الشرعية لتضليل المستخدمين وإيهامهم بأن هذه البرامج الضارة آمنة.

معلومات إصدار Windows PE

i

معلومات إصدار Windows PE

يعرض هذا القسم القيم والخصائص التي تم ضبطها في بنية بيانات معلومات إصدار ملفات ويندوز لعينات ضمن هذه المجموعة. ولخداع المستخدمين، غالبًا ما يضيف مبتكرو البرامج الضارة معلومات إصدار مزيفة تحاكي البرامج الشرعية.

اسم	قيمة
Assembly Version	1.0.0.0
Comments	Võ Lâm Truyền Kỳ - Auto Update Launcher
Company Name	JX Tinh Thien Ha
File Description	Autoupdate
File Version	1.0.0.0
Internal Name	Autoupdate.exe
Legal Copyright	Copyright © 2021
Original Filename	Autoupdate.exe
Product Name	Autoupdate
Product Version	1.0.0.0

سمات الملف

• .NET
• HighEntropy
• x86

معلومات عن الكتلة

i

معلومات عن الكتلة

أثناء التحليل، يقوم برنامج EnigmaSoft بتقسيم عينات الملفات إلى كتل منطقية لتصنيفها ومقارنتها بعينات أخرى. يمكن استخدام هذه الكتل لإنشاء قواعد للكشف عن البرامج الضارة، ولتجميع عينات الملفات في مجموعات بناءً على شفرة المصدر المشتركة، والوظائف، وغيرها من السمات والخصائص المميزة. يعرض هذا القسم ملخصًا لبيانات هذه الكتل، بالإضافة إلى تصنيفها بواسطة EnigmaSoft. كما يتم عرض تمثيل مرئي لبيانات الكتل، إن وُجد.

إجمالي الكتل:	166
الكتل التي يحتمل أن تكون ضارة:	19
الكتل المسموح بها:	106
كتل غير معروفة:	41

خريطة مرئية

0 0 0 0 ? ? ? x ? x x ? ? ? ? ? 0 0 0 0 0 0 0 0 ? 0 0 ? ? ? 0 0 0 ? ? ? ? ? 0 ? ? ? ? ? ? ? 0 x x 0 0 x 0 0 ? 0 0 ? ? ? ? ? 0 ? 0 x ? 0 x x x ? 0 x x x 0 ? x x x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x x x ? ? ? ? ? 0 ?

0 - كتلة آمنة محتملة
? - كتلة غير معروفة
x - حظر يحتمل أن يكون خبيثًا

تم تعديل الملفات

i

تم تعديل الملفات

يسرد هذا القسم الملفات التي أنشأتها أو عدّلتها أو نقلتها أو حذفتها عينات من هذه العائلة. ويمكن أن يوفر نشاط نظام الملفات معلومات قيّمة حول كيفية عمل البرامج الضارة على نظام التشغيل.

ملف	صفات
\device\namedpipe\gmdasllogger	Generic Write,Read Attributes
c:\windows\appcompat\programs\amcache.hve	Read Data,Read Control,Write Data
c:\windows\appcompat\programs\amcache.hve	Write Attributes

تعديلات السجل

i

تعديلات السجل

يسرد هذا القسم مفاتيح وقيم سجل النظام التي أنشأتها أو عدّلتها أو حذفتها عينات من هذه العائلة. يمكن أن يوفر نشاط سجل نظام ويندوز معلومات قيّمة حول وظائف البرامج الضارة. بالإضافة إلى ذلك، غالبًا ما تُنشئ البرامج الضارة قيمًا في سجل النظام لتمكينها من بدء التشغيل تلقائيًا والاستمرار إلى أجل غير مسمى بعد اختراق النظام في البداية.

المفتاح::القيمة	بيانات	اسم واجهة برمجة التطبيقات
HKLM\system\software\microsoft\tip\aggregateresults::data	隞̃蘁耀꧌-	RegNtPreCreateKey

استخدام واجهة برمجة تطبيقات ويندوز

i

استخدام واجهة برمجة تطبيقات ويندوز

يسرد هذا القسم استدعاءات واجهة برمجة تطبيقات ويندوز (Windows API) المستخدمة في العينات ضمن هذه المجموعة. يُعد تحليل استخدام واجهة برمجة تطبيقات ويندوز أداة قيّمة تُساعد في تحديد الأنشطة الضارة، مثل تسجيل ضغطات المفاتيح، ورفع مستوى صلاحيات الأمان، وتشفير البيانات، وتسريب البيانات، والتداخل مع برامج مكافحة الفيروسات، والتلاعب بطلبات الشبكة.

فئة	واجهة برمجة التطبيقات (API)
Syscall Use	ntdll.dll!NtAccessCheck ntdll.dll!NtAdjustPrivilegesToken ntdll.dll!NtAlertThreadByThreadId ntdll.dll!NtAlpcConnectPort ntdll.dll!NtAlpcSendWaitReceivePort ntdll.dll!NtApphelpCacheControl ntdll.dll!NtAssociateWaitCompletionPacket ntdll.dll!NtClearEvent ntdll.dll!NtClose ntdll.dll!NtConnectPort عرض المزيد ntdll.dll!NtCreateEvent ntdll.dll!NtCreateIoCompletion ntdll.dll!NtCreateKey ntdll.dll!NtCreateMutant ntdll.dll!NtCreateSection ntdll.dll!NtCreateSemaphore ntdll.dll!NtCreateTimer2 ntdll.dll!NtCreateWaitCompletionPacket ntdll.dll!NtCreateWorkerFactory ntdll.dll!NtDelayExecution ntdll.dll!NtDeleteValueKey ntdll.dll!NtDeviceIoControlFile ntdll.dll!NtDuplicateObject ntdll.dll!NtDuplicateToken ntdll.dll!NtEnumerateKey ntdll.dll!NtEnumerateValueKey ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtFsControlFile ntdll.dll!NtLoadKeyEx ntdll.dll!NtMapViewOfSection ntdll.dll!NtNotifyChangeKey ntdll.dll!NtOpenDirectoryObject ntdll.dll!NtOpenEvent ntdll.dll!NtOpenFile ntdll.dll!NtOpenKey ntdll.dll!NtOpenKeyEx ntdll.dll!NtOpenProcessToken ntdll.dll!NtOpenProcessTokenEx ntdll.dll!NtOpenSection ntdll.dll!NtOpenSemaphore ntdll.dll!NtOpenSymbolicLinkObject ntdll.dll!NtOpenThread ntdll.dll!NtOpenThreadToken ntdll.dll!NtOpenThreadTokenEx ntdll.dll!NtProtectVirtualMemory ntdll.dll!NtQueryAttributesFile ntdll.dll!NtQueryDefaultLocale ntdll.dll!NtQueryDirectoryFileEx ntdll.dll!NtQueryInformationFile ntdll.dll!NtQueryInformationProcess ntdll.dll!NtQueryInformationThread ntdll.dll!NtQueryInformationToken ntdll.dll!NtQueryKey ntdll.dll!NtQueryLicenseValue ntdll.dll!NtQueryPerformanceCounter ntdll.dll!NtQuerySecurityAttributesToken ntdll.dll!NtQuerySecurityObject ntdll.dll!NtQuerySymbolicLinkObject ntdll.dll!NtQuerySystemInformation ntdll.dll!NtQuerySystemInformationEx ntdll.dll!NtQueryValueKey ntdll.dll!NtQueryVirtualMemory ntdll.dll!NtQueryVolumeInformationFile ntdll.dll!NtQueryWnfStateData ntdll.dll!NtReadRequestData ntdll.dll!NtReadVirtualMemory ntdll.dll!NtReleaseMutant ntdll.dll!NtReleaseSemaphore ntdll.dll!NtReleaseWorkerFactoryWorker ntdll.dll!NtRequestWaitReplyPort ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationKey ntdll.dll!NtSetInformationProcess ntdll.dll!NtSetInformationThread ntdll.dll!NtSetInformationVirtualMemory ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtSubscribeWnfStateChange ntdll.dll!NtTestAlert ntdll.dll!NtTraceControl ntdll.dll!NtTraceEvent ntdll.dll!NtUnmapViewOfSection ntdll.dll!NtUnmapViewOfSectionEx ntdll.dll!NtWaitForAlertByThreadId ntdll.dll!NtWaitForSingleObject ntdll.dll!NtWaitForWorkViaWorkerFactory ntdll.dll!NtWaitLowEventPair ntdll.dll!NtWorkerFactoryWorkerReady ntdll.dll!NtWriteFile UNKNOWN
User Data Access	GetUserObjectInformation
Anti Debug	IsDebuggerPresent
Other Suspicious	AdjustTokenPrivileges
Process Manipulation Evasion	NtUnmapViewOfSection ReadProcessMemory
Process Shell Execute	CreateProcess
Encryption Used	BCryptOpenAlgorithmProvider

تنفيذ أوامر شل

i

تنفيذ أوامر شل

يسرد هذا القسم أوامر نظام التشغيل ويندوز التي تُشغّلها العينات في هذه المجموعة. غالبًا ما تستغل البرامج الضارة أوامر نظام التشغيل ويندوز لأغراض خبيثة، ويمكن استخدامها لرفع مستوى صلاحيات الأمان، وتنزيل برامج ضارة أخرى وتشغيلها، واستغلال الثغرات الأمنية، وجمع البيانات واستخراجها، وإخفاء الأنشطة الضارة.

C:\Windows\Microsoft.NET\Framework64\v2.0.50727\\dw20.exe dw20.exe -x -s 896