PUP.Gametool.J

PUP.Gametool.J — это потенциально нежелательная программа (PUP), нацеленная на компьютеры под управлением Windows. Чаще всего она ассоциируется с программами запуска игр или инструментами автоматического обновления, и хотя она не классифицируется как крайне опасная, её присутствие всё же может быть неприятным и нежелательным для системы пользователя. Специалисты по безопасности отслеживают это обнаружение с конца 2022 года, и оно продолжает регулярно появляться в результатах сканирования, что указывает на его активное распространение.

Что делает PUP.Gametool.J

PUP.Gametool.J позиционирует себя как легитимная утилита, обычно распространяемая в виде компонента автоматического обновления или лаунчера, связанного с игровым клиентом. После установки она может работать незаметно в фоновом режиме, выполняя задачи обновления или обслуживания, не всегда ясно объясняя, что она делает и зачем. Как и многие программы из категории «Потенциально нежелательные программы», она может быть связана с дополнительными программными компонентами, на установку которых пользователь явно не давал согласия, и может демонстрировать поведение, типичное для этой категории, например, автоматический запуск при загрузке системы, обмен данными по сети или запуск дополнительных процессов без явного взаимодействия с пользователем. Нередко такие инструменты используют системные функции, связанные с обработкой процессов, что иногда затрудняет их обнаружение или удаление вручную обычным пользователем.

Как это попадает на компьютеры

Как это обычно бывает с потенциально нежелательными программами (PUP), PUP.Gametool.J, как правило, не распространяется путем прямой, преднамеренной загрузки вредоносного ПО. Вместо этого он обычно распространяется в комплекте с другими программными установщиками, особенно с теми, которые связаны с игровыми инструментами, лаунчерами или утилитами автоматического обновления. Пользователи могут столкнуться с ним после загрузки программного обеспечения с неофициальных или сторонних веб-сайтов, пиринговых сетей или из пакетов установки, которые включают дополнительные, предварительно отмеченные компоненты. Поскольку на экранах установки программного обеспечения, распространяемого в комплекте, дополнительные модули часто скрыты в параметрах «пользовательской» или «расширенной» установки, многие пользователи в конечном итоге устанавливают такие программы, не осознавая этого.

Риски для пользователя

По типичной шкале риска, уровень опасности PUP.Gametool.J оценивается как низкий, поэтому он не считается серьезной угрозой по сравнению с вредоносными программами высокого риска, такими как программы-вымогатели или шпионские программы. Однако PUP в целом все же могут представлять реальную опасность. К таким угрозам относятся нежелательные фоновые процессы, потребляющие системные ресурсы, неожиданная сетевая активность, изменения в поведении системы без явного согласия пользователя и установка дополнительных нежелательных компонентов. Поскольку у этого файла отсутствует цифровая подпись, проверить его подлинность сложнее, что добавляет неопределенности относительно его происхождения и предполагаемого назначения.

Признаки инфекции

Пользователи могут заметить работающую в фоновом режиме программу, которую они не помнят, чтобы устанавливали, часто связанную с обновлением игры или функциональностью лаунчера. Другие типичные признаки этой категории включают появление неожиданных процессов в диспетчере задач, незнакомые записи в программах автозагрузки, повышенную фоновую сетевую активность или появление связанных файлов и следов в системных папках без четкого объяснения.

Как обеспечить свою безопасность

Чтобы снизить риск столкнуться с такими программами, как PUP.Gametool.J, загружайте программное обеспечение только из официальных или проверенных источников и избегайте сторонних порталов загрузки, которые перепаковывают установщики. Всегда выбирайте «пользовательскую» или «расширенную» установку, чтобы иметь возможность просмотреть и отменить выбор любых компонентов, входящих в комплект, перед установкой. Поддерживайте свою операционную систему и программное обеспечение безопасности в актуальном состоянии и периодически проверяйте установленные программы и элементы автозагрузки, чтобы обнаружить что-либо незнакомое. Регулярное сканирование системы с помощью надежного программного обеспечения безопасности также может помочь обнаружить и удалить нежелательные программы до того, как они вызовут дальнейшие проблемы.

Аналитический отчет

Главная Информация

Фамилия:	PUP.Gametool.J
Статус подписи:	No Signature

Известные образцы

i

Известные образцы

В этом разделе перечислены другие образцы файлов, предположительно связанные с этой семьей.

MD5: fa7bbfa1ff157a0bf9b27058c83e0bb8 ША1: a7be2076fd77ee3bbe83c625a850729eab7e14b6 SHA256: D8CE8634D4F8467F25F4E4D4DE58CA828AE4A979A7A3D1D5C030E6A2C3A5E400 Размер файла: 1.88 MB, 1877504 байт

Атрибуты исполняемого файла Windows Portable

i

Атрибуты исполняемого файла Windows Portable

В этом разделе перечислены атрибуты файлов, обнаруженные в образцах семейства. Эти атрибуты извлекаются из спецификации исполняемых файлов Windows PE (Portable Executable) и различных системных флагов. Атрибуты исполняемых файлов позволяют исследователям вредоносного ПО получить представление о функциональности файла, деталях исполняемого файла, платформе и среде выполнения.

• File doesn't have "Rich" header
• File doesn't have exports table
• File doesn't have security information
• File is .NET application
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Значки файлов

i

Значки файлов

В этом разделе отображаются значки, найденные в образцах вредоносных программ. Вредоносные программы часто копируют значки, обычно ассоциируемые с легитимным программным обеспечением, чтобы ввести пользователей в заблуждение и заставить их поверить в безопасность вредоносной программы.

Информация о версии Windows PE

i

Информация о версии Windows PE

В этом разделе отображаются значения и атрибуты, установленные в структуре данных информации о версии файла Windows для образцов этого семейства. Чтобы ввести пользователей в заблуждение, злоумышленники часто добавляют поддельную информацию о версии, имитирующую легитимное программное обеспечение.

имя	Ценность
Assembly Version	1.0.0.0
Comments	Võ Lâm Truyền Kỳ - Auto Update Launcher
Company Name	JX Tinh Thien Ha
File Description	Autoupdate
File Version	1.0.0.0
Internal Name	Autoupdate.exe
Legal Copyright	Copyright © 2021
Original Filename	Autoupdate.exe
Product Name	Autoupdate
Product Version	1.0.0.0

Характеристики файла

• .NET
• HighEntropy
• x86

Информация о блоке

i

Информация о блоке

В процессе анализа EnigmaSoft разбивает образцы файлов на логические блоки для классификации и сравнения с другими образцами. Блоки могут использоваться для генерации правил обнаружения вредоносного ПО и для группировки образцов файлов в семейства на основе общего исходного кода, функциональности и других отличительных атрибутов и характеристик. В этом разделе приводится сводная информация о данных этих блоков, а также их классификация, выполненная EnigmaSoft. При наличии также отображается визуальное представление данных блоков.

Всего блоков:	166
Потенциально вредоносные блоки:	19
Блоки, внесенные в белый список:	106
Неизвестные блоки:	41

Визуальная карта

0 0 0 0 ? ? ? x ? x x ? ? ? ? ? 0 0 0 0 0 0 0 0 ? 0 0 ? ? ? 0 0 0 ? ? ? ? ? 0 ? ? ? ? ? ? ? 0 x x 0 0 x 0 0 ? 0 0 ? ? ? ? ? 0 ? 0 x ? 0 x x x ? 0 x x x 0 ? x x x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x x x ? ? ? ? ? 0 ?

0 - Вероятный безопасный блок
? - Неизвестный блок
x - Потенциально вредоносная блокировка

Файлы изменены

i

Файлы изменены

В этом разделе перечислены файлы, созданные, измененные, перемещенные и/или удаленные образцами из этого семейства. Активность файловой системы может дать ценную информацию о том, как вредоносное ПО функционирует в операционной системе.

Файл	Атрибуты
\device\namedpipe\gmdasllogger	Generic Write,Read Attributes
c:\windows\appcompat\programs\amcache.hve	Read Data,Read Control,Write Data
c:\windows\appcompat\programs\amcache.hve	Write Attributes

Изменения в реестре

i

Изменения в реестре

В этом разделе перечислены ключи и значения реестра, которые были созданы, изменены и/или удалены образцами из этого семейства. Активность реестра Windows может дать ценную информацию о функциональности вредоносных программ. Кроме того, вредоносные программы часто создают значения реестра, чтобы автоматически запускаться и неограниченно существовать после того, как первоначальное заражение скомпрометировало систему.

Ключ::Значение	Данные	Название API
HKLM\system\software\microsoft\tip\aggregateresults::data	隞̃蘁耀꧌-	RegNtPreCreateKey

Использование API Windows

i

Использование API Windows

В этом разделе перечислены вызовы API Windows, используемые примерами из этого семейства. Анализ использования API Windows — это ценный инструмент, который может помочь выявить вредоносную активность, такую как перехват нажатий клавиш, повышение привилегий в системе безопасности, шифрование данных, утечка данных, вмешательство в работу антивирусного программного обеспечения и манипулирование сетевыми запросами.

Категория	API
Syscall Use	ntdll.dll!NtAccessCheck ntdll.dll!NtAdjustPrivilegesToken ntdll.dll!NtAlertThreadByThreadId ntdll.dll!NtAlpcConnectPort ntdll.dll!NtAlpcSendWaitReceivePort ntdll.dll!NtApphelpCacheControl ntdll.dll!NtAssociateWaitCompletionPacket ntdll.dll!NtClearEvent ntdll.dll!NtClose ntdll.dll!NtConnectPort Показать больше ntdll.dll!NtCreateEvent ntdll.dll!NtCreateIoCompletion ntdll.dll!NtCreateKey ntdll.dll!NtCreateMutant ntdll.dll!NtCreateSection ntdll.dll!NtCreateSemaphore ntdll.dll!NtCreateTimer2 ntdll.dll!NtCreateWaitCompletionPacket ntdll.dll!NtCreateWorkerFactory ntdll.dll!NtDelayExecution ntdll.dll!NtDeleteValueKey ntdll.dll!NtDeviceIoControlFile ntdll.dll!NtDuplicateObject ntdll.dll!NtDuplicateToken ntdll.dll!NtEnumerateKey ntdll.dll!NtEnumerateValueKey ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtFsControlFile ntdll.dll!NtLoadKeyEx ntdll.dll!NtMapViewOfSection ntdll.dll!NtNotifyChangeKey ntdll.dll!NtOpenDirectoryObject ntdll.dll!NtOpenEvent ntdll.dll!NtOpenFile ntdll.dll!NtOpenKey ntdll.dll!NtOpenKeyEx ntdll.dll!NtOpenProcessToken ntdll.dll!NtOpenProcessTokenEx ntdll.dll!NtOpenSection ntdll.dll!NtOpenSemaphore ntdll.dll!NtOpenSymbolicLinkObject ntdll.dll!NtOpenThread ntdll.dll!NtOpenThreadToken ntdll.dll!NtOpenThreadTokenEx ntdll.dll!NtProtectVirtualMemory ntdll.dll!NtQueryAttributesFile ntdll.dll!NtQueryDefaultLocale ntdll.dll!NtQueryDirectoryFileEx ntdll.dll!NtQueryInformationFile ntdll.dll!NtQueryInformationProcess ntdll.dll!NtQueryInformationThread ntdll.dll!NtQueryInformationToken ntdll.dll!NtQueryKey ntdll.dll!NtQueryLicenseValue ntdll.dll!NtQueryPerformanceCounter ntdll.dll!NtQuerySecurityAttributesToken ntdll.dll!NtQuerySecurityObject ntdll.dll!NtQuerySymbolicLinkObject ntdll.dll!NtQuerySystemInformation ntdll.dll!NtQuerySystemInformationEx ntdll.dll!NtQueryValueKey ntdll.dll!NtQueryVirtualMemory ntdll.dll!NtQueryVolumeInformationFile ntdll.dll!NtQueryWnfStateData ntdll.dll!NtReadRequestData ntdll.dll!NtReadVirtualMemory ntdll.dll!NtReleaseMutant ntdll.dll!NtReleaseSemaphore ntdll.dll!NtReleaseWorkerFactoryWorker ntdll.dll!NtRequestWaitReplyPort ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationKey ntdll.dll!NtSetInformationProcess ntdll.dll!NtSetInformationThread ntdll.dll!NtSetInformationVirtualMemory ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtSubscribeWnfStateChange ntdll.dll!NtTestAlert ntdll.dll!NtTraceControl ntdll.dll!NtTraceEvent ntdll.dll!NtUnmapViewOfSection ntdll.dll!NtUnmapViewOfSectionEx ntdll.dll!NtWaitForAlertByThreadId ntdll.dll!NtWaitForSingleObject ntdll.dll!NtWaitForWorkViaWorkerFactory ntdll.dll!NtWaitLowEventPair ntdll.dll!NtWorkerFactoryWorkerReady ntdll.dll!NtWriteFile UNKNOWN
User Data Access	GetUserObjectInformation
Anti Debug	IsDebuggerPresent
Other Suspicious	AdjustTokenPrivileges
Process Manipulation Evasion	NtUnmapViewOfSection ReadProcessMemory
Process Shell Execute	CreateProcess
Encryption Used	BCryptOpenAlgorithmProvider

Выполнение команд оболочки

i

Выполнение команд оболочки

В этом разделе перечислены команды оболочки Windows, которые выполняются образцами этого семейства. Команды оболочки Windows часто используются вредоносным ПО в злонамеренных целях и могут применяться для повышения привилегий безопасности, загрузки и запуска другого вредоносного ПО, использования уязвимостей, сбора и кражи данных, а также сокрытия вредоносной активности.

C:\Windows\Microsoft.NET\Framework64\v2.0.50727\\dw20.exe dw20.exe -x -s 896