قاعدة بيانات التهديد البرامج غير المرغوب فيها PUP.Ypack.H

PUP.Ypack.H

بواسطة CagedTech في البرامج غير المرغوب فيها
تاريخ النشر:
آخر تحديث:
ترجمة الى:

التهديدات بطاقة الأداء

ترتيب الشعبية: 2,558
مستوى التهديد: 10 % (طبيعي)
أجهزة الكمبيوتر المصابة: 69
الروية الأولى: August 21, 2026
اخر ظهور: October 15, 2026
نظام (أنظمة) متأثر: Windows

يُستخدم اسم PUP.Ypack.H للكشف عن البرامج غير المرغوب فيها (PUP) التي تُثبّت على أنظمة ويندوز، غالبًا دون علم المستخدم. ورغم أنها لا تُصنّف ضمن البرامج شديدة الخطورة، إلا أنها تنتمي إلى فئة البرامج التي قد تُغيّر إعدادات المتصفح، وتُحمّل محتوى غير مرغوب فيه، وتجعل استخدام الحاسوب أقل متعة وأمانًا. وقد رُصد هذا الكشف مع ملف يُعرّف نفسه داخليًا باسم "YandexPin"، مع العلم أن وجود هذا الاسم لا يعني بالضرورة أن كل ملف مُصنّف بهذه الطريقة مصدره رسمي أو موثوق.

ما يفعله Ypack.H

بمجرد تفعيلها على النظام، تركز البرامج من هذه الفئة عادةً على التلاعب بتجربة تصفح المستخدم للإنترنت. في هذه الحالة، صُممت العينة المكتشفة لفتح صفحات ويب محددة تلقائيًا، وإعادة توجيه المتصفح إلى عنوان مُحدد مسبقًا عبر أوامر تُشغّل المتصفح الافتراضي وتُحمّل عنوان URL معينًا. يُستخدم هذا النوع من السلوك عادةً لجذب الزيارات إلى مواقع ويب معينة، أو الترويج لمحركات البحث، أو تحقيق عائدات إعلانية لمن يُوزّع البرنامج، بدلًا من تقديم أي فائدة حقيقية للمستخدم.

من الناحية التقنية، البرنامج عبارة عن تطبيق ويندوز أصلي 32 بت غير مضغوط، مما يعني أن شفرته البرمجية ليست مشفرة بشكل كبير. ومع ذلك، فهو يستخدم بعض وظائف النظام المتعلقة بمعالجة الذاكرة وإدارة العمليات، والتي تستغلها البرامج أحيانًا لتعديل طريقة عمل العمليات أو لتشغيل تطبيقات أخرى في الخلفية دون علم المستخدم. تشير سلسلة التوقيع الرقمي للملف إلى شهادة جذر غير موثوقة، وهو ما يُعد مؤشرًا خطيرًا، إذ عادةً ما تُوقع البرامج الموثوقة بشهادات تعود إلى جهة إصدار جذر موثوقة.

كيف يصل عادةً إلى أجهزة الكمبيوتر

تنتشر البرامج غير المرغوب فيها، مثل Ypack.H، عادةً عبر حزم البرامج، حيث تُضمّن كمكوّن إضافي، غالباً ما يكون مُختاراً مسبقاً، عند تثبيت المستخدم لبرنامج آخر يبدو غير ذي صلة. كما يمكن أن تصل هذه البرامج عبر إعلانات مُضلّلة، أو أزرار تنزيل وهمية، أو مواقع تنزيل برامج مجانية تُضمّن أدوات إضافية مع البرنامج الذي يريده المستخدم فعلاً. في كثير من الحالات، يوافق المستخدمون دون علمهم على التثبيت بالنقر السريع على معالجات التثبيت دون مراجعة المكونات الاختيارية.

المخاطر التي قد يتعرض لها المستخدم

على الرغم من تصنيفها ضمن مستوى الخطر المنخفض، إلا أن هذا النوع من البرامج قد يُسبب إزعاجًا حقيقيًا ومخاوف أمنية طفيفة. تشمل المخاطر الشائعة تغييرات غير مرغوب فيها في صفحات المتصفح الرئيسية أو إعدادات البحث الافتراضية، وظهور نوافذ منبثقة غير متوقعة، وإعادة توجيه عمليات البحث على الإنترنت، وتدهور عام في أداء النظام نتيجة تشغيل عمليات في الخلفية دون هدف واضح. في بعض الحالات، قد يُؤدي هذا النوع من البرامج أيضًا إلى تثبيت برامج أخرى غير مرغوب فيها أو تعريض المستخدمين لشبكات إعلانية إضافية.

علامات العدوى

قد يلاحظ المستخدمون المتأثرون بهذا النوع من البرامج غير المرغوب فيها فتح متصفحاتهم تلقائيًا لمواقع ويب غير مألوفة، وتغييرات في صفحتهم الرئيسية أو محرك البحث الافتراضي لم يجروها بأنفسهم، وظهور أشرطة أدوات أو إضافات جديدة دون تفسير، وزيادة في النوافذ المنبثقة الإعلانية. كما يُعدّ التباطؤ العام في أداء المتصفح أو النظام علامة على وجود برنامج غير مرغوب فيه يعمل في الخلفية.

كيفية الحفاظ على الحماية

لتجنب البرامج غير المرغوب فيها مثل Ypack.H، ينبغي على المستخدمين اختيار خيارات التثبيت المخصصة أو المتقدمة عند تثبيت أي برنامج جديد، مع مراجعة كل خطوة بعناية للتأكد من عدم وجود مربعات اختيار مُحددة مسبقًا تُتيح برامج إضافية. كما يُساعد تنزيل البرامج من مصادر رسمية أو موثوقة فقط، وتحديث نظام التشغيل والمتصفحات باستمرار، ومراجعة البرامج المُثبتة وإضافات المتصفح بانتظام، على اكتشاف البرامج غير المرغوب فيها مبكرًا. ويُقلل إجراء فحوصات دورية للنظام وتوخي الحذر من الإعلانات أو طلبات التنزيل المشبوهة من احتمالية تثبيت هذه البرامج.

تقرير التحليل

معلومات عامة

اسم العائلة: PUP.Ypack.H
حالة التوقيع: Root Not Trusted

عينات معروفة

MD5: fed6fe4a78ed9f64a2d5b15616608243
SHA1: f4db0db1e67c973d35a03810d5c6ec5efc76affd
SHA256: 126F66BF87CACEC6221DE23EC39FA1464EF9EBE0231382BF8D2DDF53896FB3BB
حجم الملف: 408.77 KB,408768 بايت

سمات الملفات التنفيذية المحمولة لنظام التشغيل Windows

  • File doesn't have "Rich" header
  • File doesn't have exports table
  • File is 32-bit executable
  • File is either console or GUI application
  • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
  • File is Native application (NOT .NET application)
  • File is not packed
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

أيقونات الملفات

معلومات إصدار Windows PE

اسم قيمة
File Description YandexPin
File Version 3.7.9.0
Internal Name YandexPin
Legal Copyright Copyright (C) Yandex 2019
Original Filename YandexPin.exe
Product Name YandexPin
Product Version 3.7.9.0

التوقيعات الرقمية

الموقع جذر حالة
YANDEX LLC GlobalSign Code Signing Root R45 Root Not Trusted

سمات الملف

  • x86

معلومات عن الكتلة

إجمالي الكتل: 984
الكتل التي يحتمل أن تكون ضارة: 114
الكتل المسموح بها: 870
كتل غير معروفة: 0

خريطة مرئية

0 0 x x x x x 0 x x 0 x x 0 x 0 x x x 0 x x x x x x x x x x 0 x 0 0 0 0 0 0 0 x 0 0 0 0 0 0 0 0 x 0 0 0 x x x 0 x x x x 0 x x x x 0 0 0 0 x x 0 x x 0 x x x 0 0 x x 0 0 0 0 0 0 0 0 x x 0 x x 0 0 0 0 0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x x x x x x x 0 x x 0 x 0 x x 0 0 0 0 0 0 0 0 0 0 0 x 0 x 0 x 0 0 0 0 0 0 0 0 0 x 0 0 0 0 0 0 x 0 0 0 0 0 x 0 0 x 0 0 0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x 0 x x x x 0 0 0 0 0 0 0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x 0 0 0 0 0 0 x x 0 x x x x x x 0 x x x x x 0 0 x 0 0 x x x x x x 0 x x x x 0 x x 0 0 x x x 0 x x x x x x x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 1 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 3 1 1 1 0 0 0 0 0 0 0 0 0 0 0 0 0 2 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 1 0 0 0 0 0 0 0 0 0 0 0 0 0 1 1 0 0 1 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 1 0 1 0 0 0 0 1 1 0 0 0 0 0 0 0 1 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 1 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 1 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 2 2 0 0 0 1 1 1 0 0 1 0 0 0 0
0 - كتلة آمنة محتملة
? - كتلة غير معروفة
x - حظر يحتمل أن يكون خبيثًا

عائلات متشابهة

  • Ypack.H

تعديلات السجل

المفتاح::القيمة بيانات اسم واجهة برمجة التطبيقات
HKCU\software\microsoft\windows\currentversion\explorer::slowcontextmenuentries `$�!�:i��+00��� Gs]XM���"�2��FXD�':D��exA-��LG=�A��J� �C� RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\5.0\cache\content::cacheprefix RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\5.0\cache\cookies::cacheprefix Cookie: RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\5.0\cache\history::cacheprefix Visited: RegNtPreCreateKey
HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75 �n|8��"ajg�8 �� �v ��T��������%��Bx#��$kF&� (�(X�(�)�`*J*9*�"-!R1`1�1HO1��5,]=�@V�A��D�G�IH[uH�pK��N$N�b"hc�wg�Xh�rj�bk`k�ql(�lR p*q�Xr�BtǤvy�w�ny�9z��{b� RegNtPreCreateKey
HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75 �n�8��"ajg�8 �� �v ����T��������%��Bx#��$kF&� (�(X�(�)�`*J*9*�"-!R1`1�1HO1��5,]=�@V�A��D�G�IH[uH�pK��N$N�b"hc�wg�Xh�rj�bk`k�ql(�lR p*q�Xr�BtǤvy�w�nx�dy�9 RegNtPreCreateKey
HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75 �n�8��"ajg�8 �� �v ����T��������%��Bx#��$kF&� (�(X�(�)�`*J*9*�"-!R1`1�1HO1��5,]=�@V�A��D�G�IH[uH�pK��N$N�b"hc�wg�Xh�rj�bk`k�ql(�lR p*q�Xr�BtǤvy�w�nx�dy�9 RegNtPreCreateKey
HKCU\software\microsoft\edge\elfbeacon::version 153.0.4234.32 RegNtPreCreateKey

استخدام واجهة برمجة تطبيقات ويندوز

فئة واجهة برمجة التطبيقات (API)
Process Manipulation Evasion
  • NtUnmapViewOfSection
Process Shell Execute
  • CreateProcess
  • ShellExecute
Syscall Use
  • ntdll.dll!NtAccessCheck
  • ntdll.dll!NtAlpcSendWaitReceivePort
  • ntdll.dll!NtApphelpCacheControl
  • ntdll.dll!NtClose
  • ntdll.dll!NtCreateFile
  • ntdll.dll!NtCreateMutant
  • ntdll.dll!NtCreateSection
  • ntdll.dll!NtCreateSemaphore
  • ntdll.dll!NtDeleteValueKey
  • ntdll.dll!NtDuplicateToken
عرض المزيد
  • ntdll.dll!NtFreeVirtualMemory
  • ntdll.dll!NtMapViewOfSection
  • ntdll.dll!NtOpenFile
  • ntdll.dll!NtOpenKey
  • ntdll.dll!NtOpenKeyEx
  • ntdll.dll!NtOpenProcessToken
  • ntdll.dll!NtOpenProcessTokenEx
  • ntdll.dll!NtOpenSection
  • ntdll.dll!NtOpenThreadTokenEx
  • ntdll.dll!NtPowerInformation
  • ntdll.dll!NtProtectVirtualMemory
  • ntdll.dll!NtQueryAttributesFile
  • ntdll.dll!NtQueryInformationProcess
  • ntdll.dll!NtQueryInformationThread
  • ntdll.dll!NtQueryInformationToken
  • ntdll.dll!NtQueryKey
  • ntdll.dll!NtQueryLicenseValue
  • ntdll.dll!NtQueryPerformanceCounter
  • ntdll.dll!NtQuerySecurityObject
  • ntdll.dll!NtQuerySystemInformation
  • ntdll.dll!NtQuerySystemInformationEx
  • ntdll.dll!NtQueryValueKey
  • ntdll.dll!NtQueryVirtualMemory
  • ntdll.dll!NtReadRequestData
  • ntdll.dll!NtReleaseMutant
  • ntdll.dll!NtReleaseWorkerFactoryWorker
  • ntdll.dll!NtSetEvent
  • ntdll.dll!NtSetInformationVirtualMemory
  • ntdll.dll!NtSetInformationWorkerFactory
  • ntdll.dll!NtTestAlert
  • ntdll.dll!NtWaitForSingleObject
  • ntdll.dll!NtWriteFile
  • UNKNOWN

تنفيذ أوامر شل

open www.ya.ru?clid=1961774-1
"C:\Program Files (x86)\Microsoft\Edge\Application\msedge.exe" --edge-skip-compat-layer-relaunch --single-argument http://www.ya.ru/?clid=1961774-1