PUP.Gametool.J

PUP.Gametool.J è un programma potenzialmente indesiderato (PUP) che prende di mira i computer Windows. È spesso associato a launcher o strumenti di aggiornamento automatico per giochi e, sebbene non sia classificato come altamente pericoloso, la sua presenza può comunque risultare fastidiosa e indesiderata sul sistema dell'utente. I ricercatori di sicurezza monitorano questo nome di rilevamento dalla fine del 2022 e continua ad apparire regolarmente nelle scansioni, il che indica che è ancora attivamente in circolazione.

Cosa fa PUP.Gametool.J

PUP.Gametool.J si presenta come un'utilità legittima, in genere confezionata come componente di aggiornamento automatico o di avvio legato a un client di gioco. Una volta installato, può essere eseguito silenziosamente in background, svolgendo attività di aggiornamento o manutenzione senza sempre chiarire cosa stia facendo o perché. Come molti programmi nella categoria dei Programmi Potenzialmente Indesiderati (PUP), può essere incluso in bundle con componenti software aggiuntivi che l'utente non ha mai esplicitamente acconsentito a installare e può mostrare comportamenti tipici di questa categoria, come l'esecuzione automatica all'avvio, la comunicazione in rete o l'avvio di processi aggiuntivi senza una chiara interazione da parte dell'utente. Non è raro che tali strumenti utilizzino funzioni di sistema associate alla gestione dei processi, il che a volte può renderne più difficile l'identificazione o la rimozione manuale da parte di un utente medio.

Come arriva sui computer

Come tipico dei PUP (programmi potenzialmente indesiderati), PUP.Gametool.J di solito non si installa tramite un download diretto e intenzionale di malware. Piuttosto, tende ad essere incluso in bundle con altri programmi di installazione, in particolare quelli relativi a strumenti per videogiochi, launcher o utilità di aggiornamento automatico. Gli utenti potrebbero imbattersi in esso dopo aver scaricato software da siti web non ufficiali o di terze parti, reti peer-to-peer o pacchetti di installazione che includono componenti aggiuntivi preselezionati. Poiché le schermate di installazione dei software in bundle spesso nascondono i componenti aggiuntivi opzionali nelle opzioni di configurazione "personalizzate" o "avanzate", molti utenti finiscono per installare tali programmi senza rendersene pienamente conto.

Rischi per l’utente

Con un livello di pericolosità basso su una tipica scala di rischio, PUP.Gametool.J non è considerato una minaccia grave rispetto a malware ad alto rischio come ransomware o spyware. Tuttavia, i PUP in generale possono comunque rappresentare un problema concreto. Questi possono includere processi in background indesiderati che consumano risorse di sistema, attività di rete inaspettate, modifiche al comportamento del sistema senza il consenso esplicito dell'utente e l'installazione di ulteriori componenti indesiderati. Poiché questo file è privo di firma digitale, verificarne la legittimità risulta più difficile, il che aggiunge un ulteriore elemento di incertezza riguardo alla sua origine e al suo scopo.

Segni di infezione

Gli utenti potrebbero notare un programma in esecuzione in background che non ricordano di aver installato, spesso legato all'aggiornamento di un gioco o alle funzionalità del launcher. Altri segnali tipici di questa categoria includono processi inaspettati che compaiono in Gestione attività, voci sconosciute nei programmi di avvio, un aumento dell'attività di rete in background o la comparsa di file e tracce correlati nelle cartelle di sistema senza una chiara spiegazione.

Come rimanere protetti

Per ridurre il rischio di imbattersi in programmi come PUP.Gametool.J, scaricate il software solo da fonti ufficiali o affidabili ed evitate i portali di download di terze parti che riconfezionano i programmi di installazione. Scegliete sempre le opzioni di installazione "personalizzata" o "avanzata" in modo da poter esaminare e deselezionare eventuali componenti aggiuntivi prima dell'installazione. Mantenete aggiornati il sistema operativo e il software di sicurezza e controllate periodicamente i programmi installati e gli elementi di avvio per individuare eventuali anomalie. Eseguire regolarmente scansioni di sistema con un software di sicurezza affidabile può inoltre aiutare a rilevare e rimuovere i programmi indesiderati prima che causino ulteriori problemi.

Rapporto di analisi

Informazione Generale

Cognome:	PUP.Gametool.J
Stato della firma:	No Signature

Campioni noti

i

Campioni noti

Questa sezione elenca altri campioni di file che si ritiene siano associati a questa famiglia.

MD5: fa7bbfa1ff157a0bf9b27058c83e0bb8 SHA1: a7be2076fd77ee3bbe83c625a850729eab7e14b6 SHA256: D8CE8634D4F8467F25F4E4D4DE58CA828AE4A979A7A3D1D5C030E6A2C3A5E400 Dimensione del file: 1.88 MB.1877504 byte

Attributi di Windows Portable Executable

i

Attributi di Windows Portable Executable

Questa sezione elenca gli attributi dei file trovati all'interno dei campioni della famiglia. Questi attributi vengono estratti dalle specifiche Windows PE (Portable Executable) dei file e da vari flag di sistema. Gli attributi Portable Executable forniscono ai ricercatori di malware informazioni sulla funzionalità di un file, sui dettagli dell'eseguibile, sulla piattaforma e sull'ambiente di runtime.

• File doesn't have "Rich" header
• File doesn't have exports table
• File doesn't have security information
• File is .NET application
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Icone dei file

i

Icone dei file

Questa sezione mostra le risorse delle icone trovate all'interno dei campioni della famiglia. Il malware spesso replica le icone comunemente associate ai software legittimi per indurre gli utenti a credere che il malware sia sicuro.

Informazioni sulla versione di Windows PE

i

Informazioni sulla versione di Windows PE

Questa sezione mostra i valori e gli attributi impostati nella struttura dati delle informazioni sulla versione dei file di Windows per i campioni di questa famiglia. Per ingannare gli utenti, gli autori di malware spesso aggiungono informazioni di versione false che imitano software legittimi.

Nome	Valore
Assembly Version	1.0.0.0
Comments	Võ Lâm Truyền Kỳ - Auto Update Launcher
Company Name	JX Tinh Thien Ha
File Description	Autoupdate
File Version	1.0.0.0
Internal Name	Autoupdate.exe
Legal Copyright	Copyright © 2021
Original Filename	Autoupdate.exe
Product Name	Autoupdate
Product Version	1.0.0.0

Caratteristiche dei file

• .NET
• HighEntropy
• x86

Informazioni sul blocco

i

Informazioni sul blocco

Durante l'analisi, EnigmaSoft suddivide i campioni di file in blocchi logici per la classificazione e il confronto con altri campioni. I blocchi possono essere utilizzati per generare regole di rilevamento del malware e per raggruppare i campioni di file in famiglie in base al codice sorgente condiviso, alla funzionalità e ad altri attributi e caratteristiche distintive. Questa sezione elenca un riepilogo dei dati dei blocchi, nonché la loro classificazione da parte di EnigmaSoft. Viene inoltre visualizzata una rappresentazione grafica dei dati dei blocchi, ove disponibile.

Blocchi totali:	166
Blocchi potenzialmente dannosi:	19
Blocchi consentiti:	106
Blocchi sconosciuti:	41

Mappa visiva

0 0 0 0 ? ? ? x ? x x ? ? ? ? ? 0 0 0 0 0 0 0 0 ? 0 0 ? ? ? 0 0 0 ? ? ? ? ? 0 ? ? ? ? ? ? ? 0 x x 0 0 x 0 0 ? 0 0 ? ? ? ? ? 0 ? 0 x ? 0 x x x ? 0 x x x 0 ? x x x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x x x ? ? ? ? ? 0 ?

0 - Probabile blocco di sicurezza
? - Blocco sconosciuto
x - Blocco potenzialmente dannoso

File modificati

i

File modificati

Questa sezione elenca i file creati, modificati, spostati e/o eliminati dai campioni di questa famiglia. L'attività del file system può fornire preziose informazioni sul funzionamento del malware sul sistema operativo.

File	Attributi
\device\namedpipe\gmdasllogger	Generic Write,Read Attributes
c:\windows\appcompat\programs\amcache.hve	Read Data,Read Control,Write Data
c:\windows\appcompat\programs\amcache.hve	Write Attributes

Modifiche al registro

i

Modifiche al registro

Questa sezione elenca le chiavi e i valori del registro di sistema creati, modificati e/o eliminati dai campioni di questa famiglia. L'attività del Registro di sistema di Windows può fornire preziose informazioni sulla funzionalità del malware. Inoltre, il malware spesso crea valori nel registro di sistema per potersi avviare automaticamente e persistere indefinitamente dopo che un'infezione iniziale ha compromesso il sistema.

Chiave::Valore	Dati	Nome API
HKLM\system\software\microsoft\tip\aggregateresults::data	隞̃蘁耀꧌-	RegNtPreCreateKey

Utilizzo delle API di Windows

i

Utilizzo delle API di Windows

Questa sezione elenca le chiamate API di Windows utilizzate dagli esempi di questa famiglia. L'analisi dell'utilizzo delle API di Windows è uno strumento prezioso che può aiutare a identificare attività dannose, come keylogging, escalation dei privilegi di sicurezza, crittografia dei dati, esfiltrazione di dati, interferenza con software antivirus e manipolazione delle richieste di rete.

Categoria	API
Syscall Use	ntdll.dll!NtAccessCheck ntdll.dll!NtAdjustPrivilegesToken ntdll.dll!NtAlertThreadByThreadId ntdll.dll!NtAlpcConnectPort ntdll.dll!NtAlpcSendWaitReceivePort ntdll.dll!NtApphelpCacheControl ntdll.dll!NtAssociateWaitCompletionPacket ntdll.dll!NtClearEvent ntdll.dll!NtClose ntdll.dll!NtConnectPort Mostra altro ntdll.dll!NtCreateEvent ntdll.dll!NtCreateIoCompletion ntdll.dll!NtCreateKey ntdll.dll!NtCreateMutant ntdll.dll!NtCreateSection ntdll.dll!NtCreateSemaphore ntdll.dll!NtCreateTimer2 ntdll.dll!NtCreateWaitCompletionPacket ntdll.dll!NtCreateWorkerFactory ntdll.dll!NtDelayExecution ntdll.dll!NtDeleteValueKey ntdll.dll!NtDeviceIoControlFile ntdll.dll!NtDuplicateObject ntdll.dll!NtDuplicateToken ntdll.dll!NtEnumerateKey ntdll.dll!NtEnumerateValueKey ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtFsControlFile ntdll.dll!NtLoadKeyEx ntdll.dll!NtMapViewOfSection ntdll.dll!NtNotifyChangeKey ntdll.dll!NtOpenDirectoryObject ntdll.dll!NtOpenEvent ntdll.dll!NtOpenFile ntdll.dll!NtOpenKey ntdll.dll!NtOpenKeyEx ntdll.dll!NtOpenProcessToken ntdll.dll!NtOpenProcessTokenEx ntdll.dll!NtOpenSection ntdll.dll!NtOpenSemaphore ntdll.dll!NtOpenSymbolicLinkObject ntdll.dll!NtOpenThread ntdll.dll!NtOpenThreadToken ntdll.dll!NtOpenThreadTokenEx ntdll.dll!NtProtectVirtualMemory ntdll.dll!NtQueryAttributesFile ntdll.dll!NtQueryDefaultLocale ntdll.dll!NtQueryDirectoryFileEx ntdll.dll!NtQueryInformationFile ntdll.dll!NtQueryInformationProcess ntdll.dll!NtQueryInformationThread ntdll.dll!NtQueryInformationToken ntdll.dll!NtQueryKey ntdll.dll!NtQueryLicenseValue ntdll.dll!NtQueryPerformanceCounter ntdll.dll!NtQuerySecurityAttributesToken ntdll.dll!NtQuerySecurityObject ntdll.dll!NtQuerySymbolicLinkObject ntdll.dll!NtQuerySystemInformation ntdll.dll!NtQuerySystemInformationEx ntdll.dll!NtQueryValueKey ntdll.dll!NtQueryVirtualMemory ntdll.dll!NtQueryVolumeInformationFile ntdll.dll!NtQueryWnfStateData ntdll.dll!NtReadRequestData ntdll.dll!NtReadVirtualMemory ntdll.dll!NtReleaseMutant ntdll.dll!NtReleaseSemaphore ntdll.dll!NtReleaseWorkerFactoryWorker ntdll.dll!NtRequestWaitReplyPort ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationKey ntdll.dll!NtSetInformationProcess ntdll.dll!NtSetInformationThread ntdll.dll!NtSetInformationVirtualMemory ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtSubscribeWnfStateChange ntdll.dll!NtTestAlert ntdll.dll!NtTraceControl ntdll.dll!NtTraceEvent ntdll.dll!NtUnmapViewOfSection ntdll.dll!NtUnmapViewOfSectionEx ntdll.dll!NtWaitForAlertByThreadId ntdll.dll!NtWaitForSingleObject ntdll.dll!NtWaitForWorkViaWorkerFactory ntdll.dll!NtWaitLowEventPair ntdll.dll!NtWorkerFactoryWorkerReady ntdll.dll!NtWriteFile UNKNOWN
User Data Access	GetUserObjectInformation
Anti Debug	IsDebuggerPresent
Other Suspicious	AdjustTokenPrivileges
Process Manipulation Evasion	NtUnmapViewOfSection ReadProcessMemory
Process Shell Execute	CreateProcess
Encryption Used	BCryptOpenAlgorithmProvider

Esecuzione di comandi shell

i

Esecuzione di comandi shell

Questa sezione elenca i comandi della shell di Windows eseguiti dai campioni di questa famiglia. I comandi della shell di Windows vengono spesso sfruttati dai malware per scopi illeciti e possono essere utilizzati per elevare i privilegi di sicurezza, scaricare e avviare altri malware, sfruttare le vulnerabilità, raccogliere ed esfiltrare dati e nascondere attività dannose.

C:\Windows\Microsoft.NET\Framework64\v2.0.50727\\dw20.exe dw20.exe -x -s 896