PUP.OyunAracı.J

PUP.Gametool.J, Windows bilgisayarları hedef alan Potansiyel Olarak İstenmeyen Bir Programdır (PUP). Çoğunlukla oyun başlatıcıları veya otomatik güncelleme araçlarıyla ilişkilendirilir ve son derece tehlikeli olarak sınıflandırılmasa da, varlığı kullanıcının sisteminde rahatsız edici ve istenmeyen bir durum yaratabilir. Güvenlik araştırmacıları bu tespit adını 2022 sonlarından beri takip ediyor ve düzenli olarak taramalarda görünmeye devam ediyor, bu da hala aktif olarak dolaştığını gösteriyor.

PUP.Gametool.J Ne İş Yapar?

PUP.Gametool.J, genellikle bir oyun istemcisine bağlı otomatik güncelleme veya başlatıcı bileşeni olarak paketlenmiş, meşru bir yardımcı program gibi görünür. Kurulduktan sonra, arka planda sessizce çalışarak, ne yaptığını veya neden yaptığını her zaman açıkça belirtmeden güncelleme veya bakım tarzı görevler gerçekleştirebilir. Potansiyel Olarak İstenmeyen Program kategorisindeki birçok program gibi, kullanıcının açıkça yüklemeyi kabul etmediği ek yazılım bileşenleriyle birlikte paketlenebilir ve başlangıçta otomatik olarak çalışma, ağ üzerinden iletişim kurma veya açık kullanıcı etkileşimi olmadan ek işlemler başlatma gibi bu kategoriye özgü davranışlar sergileyebilir. Bu tür araçların, işlem yönetimiyle ilgili sistem işlevlerini kullanması yaygın bir durumdur ve bu da ortalama bir kullanıcının bunları manuel olarak tanımlamasını veya kaldırmasını bazen zorlaştırabilir.

Bilgisayarlara Nasıl Bulaşıyor?

Tipik bir PUP (Potansiyel Olarak İstenmeyen Program) vakası olduğu gibi, PUP.Gametool.J genellikle doğrudan ve kasıtlı bir kötü amaçlı yazılım indirmesiyle gelmez. Bunun yerine, özellikle oyun araçları, başlatıcılar veya otomatik güncelleme yardımcı programlarıyla ilgili diğer yazılım yükleyicileriyle birlikte paketlenir. Kullanıcılar, resmi olmayan veya üçüncü taraf web sitelerinden, eşler arası ağlardan veya önceden işaretlenmiş ek bileşenler içeren paketlenmiş yükleyicilerden yazılım indirdikten sonra bununla karşılaşabilirler. Paketlenmiş yazılımların kurulum ekranları genellikle isteğe bağlı eklentileri "özel" veya "gelişmiş" kurulum seçeneklerine gizlediğinden, birçok kullanıcı bunun farkına bile varmadan bu tür programları yükler.

Kullanıcı İçin Riskler

Tipik bir risk ölçeğinde düşük tehlike seviyesine sahip olan PUP.Gametool.J, fidye yazılımı veya casus yazılım gibi yüksek riskli kötü amaçlı yazılımlara kıyasla ciddi bir tehdit olarak kabul edilmez. Bununla birlikte, genel olarak PUP'lar yine de gerçek endişeler yaratabilir. Bunlar arasında sistem kaynaklarını tüketen istenmeyen arka plan işlemleri, beklenmedik ağ etkinliği, kullanıcının açık onayı olmadan sistem davranışında değişiklikler ve daha fazla istenmeyen bileşenin yüklenmesi yer alabilir. Bu dosyanın dijital imzası olmadığı için meşruiyetini doğrulamak daha zordur, bu da kökeni ve amaçlanan kullanımı konusunda bir belirsizlik katmanı ekler.

Enfeksiyon Belirtileri

Kullanıcılar, arka planda çalışan ve yüklediklerini hatırlamadıkları bir program fark edebilirler; bu program genellikle oyun güncellemesi veya başlatıcı işleviyle bağlantılıdır. Bu kategoriye özgü diğer belirtiler arasında Görev Yöneticisi'nde beklenmedik işlemlerin görünmesi, başlangıç programlarında alışılmadık girdiler, artan arka plan ağ etkinliği veya sistem klasörlerinde ilgili dosyaların ve izlerin açık bir açıklama olmaksızın ortaya çıkması yer alır.

Korunmanın Yolları

PUP.Gametool.J gibi programlarla karşılaşma riskini azaltmak için, yazılımları yalnızca resmi veya güvenilir kaynaklardan indirin ve yükleyicileri yeniden paketleyen üçüncü taraf indirme portallarından kaçının. Kurulumdan önce paketlenmiş bileşenleri inceleyebilmek ve seçimini kaldırabilmek için her zaman "özel" veya "gelişmiş" kurulum seçeneklerini seçin. İşletim sisteminizi ve güvenlik yazılımınızı güncel tutun ve alışılmadık bir şey yakalamak için kurulu programları ve başlangıç öğelerini periyodik olarak inceleyin. Saygın güvenlik yazılımlarıyla düzenli sistem taramaları çalıştırmak, istenmeyen programları daha fazla soruna neden olmadan önce tespit etmeye ve kaldırmaya da yardımcı olabilir.

Analiz raporu

Genel bilgi

Soyadı:	PUP.Gametool.J
İmza durumu:	No Signature

Bilinen Örnekler

i

Bilinen Örnekler

Bu bölümde, bu aileyle ilişkili olduğuna inanılan diğer dosya örnekleri listelenmiştir.

MD5: fa7bbfa1ff157a0bf9b27058c83e0bb8 SHA1: a7be2076fd77ee3bbe83c625a850729eab7e14b6 SHA256: D8CE8634D4F8467F25F4E4D4DE58CA828AE4A979A7A3D1D5C030E6A2C3A5E400 Dosya boyutu: 1.88 MB.1877504 bayt

Windows Taşınabilir Çalıştırılabilir Dosya Özellikleri

i

Windows Taşınabilir Çalıştırılabilir Dosya Özellikleri

Bu bölümde, örnek dosyalarda bulunan dosya öznitelikleri listelenmiştir. Bu öznitelikler, dosyaların Windows PE (Taşınabilir Çalıştırılabilir) spesifikasyonundan ve çeşitli sistem bayraklarından çıkarılır. Taşınabilir Çalıştırılabilir Öznitelikler, kötü amaçlı yazılım araştırmacılarına bir dosyanın işlevselliği, çalıştırılabilir ayrıntıları, platformu ve çalışma ortamı hakkında bilgi verir.

• File doesn't have "Rich" header
• File doesn't have exports table
• File doesn't have security information
• File is .NET application
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Dosya Simgeleri

i

Dosya Simgeleri

Bu bölümde, aile örnekleri içinde bulunan simge kaynakları gösterilmektedir. Kötü amaçlı yazılımlar, kullanıcıları kötü amaçlı yazılımın güvenli olduğuna inandırmak için genellikle meşru yazılımlarla ilişkilendirilen simgeleri kopyalar.

Windows PE Sürüm Bilgileri

i

Windows PE Sürüm Bilgileri

Bu bölümde, bu aileye ait örnekler için Windows dosya sürüm bilgisi veri yapısında ayarlanmış değerler ve öznitelikler görüntülenir. Kullanıcıları yanıltmak için, kötü amaçlı yazılım saldırganları genellikle meşru yazılımları taklit eden sahte sürüm bilgileri ekler.

isim	Değer
Assembly Version	1.0.0.0
Comments	Võ Lâm Truyền Kỳ - Auto Update Launcher
Company Name	JX Tinh Thien Ha
File Description	Autoupdate
File Version	1.0.0.0
Internal Name	Autoupdate.exe
Legal Copyright	Copyright © 2021
Original Filename	Autoupdate.exe
Product Name	Autoupdate
Product Version	1.0.0.0

Dosya Özellikleri

• .NET
• HighEntropy
• x86

Blok Bilgileri

i

Blok Bilgileri

Analiz sırasında EnigmaSoft, dosya örneklerini sınıflandırma ve diğer örneklerle karşılaştırma için mantıksal bloklara ayırır. Bloklar, kötü amaçlı yazılım tespit kuralları oluşturmak ve dosya örneklerini paylaşılan kaynak koduna, işlevselliğe ve diğer ayırt edici özelliklere ve niteliklere göre gruplara ayırmak için kullanılabilir. Bu bölümde, bu blok verilerinin bir özeti ve EnigmaSoft tarafından yapılan sınıflandırması listelenmiştir. Ayrıca, mevcutsa, blok verilerinin görsel bir temsili de gösterilmektedir.

Toplam Blok Sayısı:	166
Potansiyel Olarak Zararlı Bloklar:	19
Beyaz Listeye Alınan Bloklar:	106
Bilinmeyen Bloklar:	41

Görsel Harita

0 0 0 0 ? ? ? x ? x x ? ? ? ? ? 0 0 0 0 0 0 0 0 ? 0 0 ? ? ? 0 0 0 ? ? ? ? ? 0 ? ? ? ? ? ? ? 0 x x 0 0 x 0 0 ? 0 0 ? ? ? ? ? 0 ? 0 x ? 0 x x x ? 0 x x x 0 ? x x x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x x x ? ? ? ? ? 0 ?

0 - Muhtemel Güvenli Blok
? - Bilinmeyen Blok
x - Potansiyel Olarak Kötü Amaçlı Engelleme

Değiştirilen Dosyalar

i

Değiştirilen Dosyalar

Bu bölümde, bu ailedeki örnekler tarafından oluşturulan, değiştirilen, taşınan ve/veya silinen dosyalar listelenmiştir. Dosya sistemi etkinliği, kötü amaçlı yazılımların işletim sisteminde nasıl çalıştığına dair değerli bilgiler sağlayabilir.

Dosya	Özellikler
\device\namedpipe\gmdasllogger	Generic Write,Read Attributes
c:\windows\appcompat\programs\amcache.hve	Read Data,Read Control,Write Data
c:\windows\appcompat\programs\amcache.hve	Write Attributes

Sicil Değişiklikleri

i

Sicil Değişiklikleri

Bu bölümde, bu ailedeki örnekler tarafından oluşturulan, değiştirilen ve/veya silinen kayıt defteri anahtarları ve değerleri listelenmiştir. Windows Kayıt Defteri etkinliği, kötü amaçlı yazılımların işlevselliği hakkında değerli bilgiler sağlayabilir. Ek olarak, kötü amaçlı yazılımlar genellikle, ilk enfeksiyon sistemi tehlikeye attıktan sonra otomatik olarak başlamasına ve süresiz olarak kalmasına olanak sağlamak için kayıt defteri değerleri oluşturur.

Anahtar::Değer	Veri	API Adı
HKLM\system\software\microsoft\tip\aggregateresults::data	隞̃蘁耀꧌-	RegNtPreCreateKey

Windows API Kullanımı

i

Windows API Kullanımı

Bu bölümde, bu ailedeki örnekler tarafından kullanılan Windows API çağrıları listelenmiştir. Windows API kullanım analizi, keylogging, güvenlik ayrıcalığı yükseltme, veri şifreleme, veri sızdırma, antivirüs yazılımlarına müdahale ve ağ isteği manipülasyonu gibi kötü amaçlı faaliyetleri belirlemeye yardımcı olabilecek değerli bir araçtır.

Kategori	API
Syscall Use	ntdll.dll!NtAccessCheck ntdll.dll!NtAdjustPrivilegesToken ntdll.dll!NtAlertThreadByThreadId ntdll.dll!NtAlpcConnectPort ntdll.dll!NtAlpcSendWaitReceivePort ntdll.dll!NtApphelpCacheControl ntdll.dll!NtAssociateWaitCompletionPacket ntdll.dll!NtClearEvent ntdll.dll!NtClose ntdll.dll!NtConnectPort Daha Fazla Göster ntdll.dll!NtCreateEvent ntdll.dll!NtCreateIoCompletion ntdll.dll!NtCreateKey ntdll.dll!NtCreateMutant ntdll.dll!NtCreateSection ntdll.dll!NtCreateSemaphore ntdll.dll!NtCreateTimer2 ntdll.dll!NtCreateWaitCompletionPacket ntdll.dll!NtCreateWorkerFactory ntdll.dll!NtDelayExecution ntdll.dll!NtDeleteValueKey ntdll.dll!NtDeviceIoControlFile ntdll.dll!NtDuplicateObject ntdll.dll!NtDuplicateToken ntdll.dll!NtEnumerateKey ntdll.dll!NtEnumerateValueKey ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtFsControlFile ntdll.dll!NtLoadKeyEx ntdll.dll!NtMapViewOfSection ntdll.dll!NtNotifyChangeKey ntdll.dll!NtOpenDirectoryObject ntdll.dll!NtOpenEvent ntdll.dll!NtOpenFile ntdll.dll!NtOpenKey ntdll.dll!NtOpenKeyEx ntdll.dll!NtOpenProcessToken ntdll.dll!NtOpenProcessTokenEx ntdll.dll!NtOpenSection ntdll.dll!NtOpenSemaphore ntdll.dll!NtOpenSymbolicLinkObject ntdll.dll!NtOpenThread ntdll.dll!NtOpenThreadToken ntdll.dll!NtOpenThreadTokenEx ntdll.dll!NtProtectVirtualMemory ntdll.dll!NtQueryAttributesFile ntdll.dll!NtQueryDefaultLocale ntdll.dll!NtQueryDirectoryFileEx ntdll.dll!NtQueryInformationFile ntdll.dll!NtQueryInformationProcess ntdll.dll!NtQueryInformationThread ntdll.dll!NtQueryInformationToken ntdll.dll!NtQueryKey ntdll.dll!NtQueryLicenseValue ntdll.dll!NtQueryPerformanceCounter ntdll.dll!NtQuerySecurityAttributesToken ntdll.dll!NtQuerySecurityObject ntdll.dll!NtQuerySymbolicLinkObject ntdll.dll!NtQuerySystemInformation ntdll.dll!NtQuerySystemInformationEx ntdll.dll!NtQueryValueKey ntdll.dll!NtQueryVirtualMemory ntdll.dll!NtQueryVolumeInformationFile ntdll.dll!NtQueryWnfStateData ntdll.dll!NtReadRequestData ntdll.dll!NtReadVirtualMemory ntdll.dll!NtReleaseMutant ntdll.dll!NtReleaseSemaphore ntdll.dll!NtReleaseWorkerFactoryWorker ntdll.dll!NtRequestWaitReplyPort ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationKey ntdll.dll!NtSetInformationProcess ntdll.dll!NtSetInformationThread ntdll.dll!NtSetInformationVirtualMemory ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtSubscribeWnfStateChange ntdll.dll!NtTestAlert ntdll.dll!NtTraceControl ntdll.dll!NtTraceEvent ntdll.dll!NtUnmapViewOfSection ntdll.dll!NtUnmapViewOfSectionEx ntdll.dll!NtWaitForAlertByThreadId ntdll.dll!NtWaitForSingleObject ntdll.dll!NtWaitForWorkViaWorkerFactory ntdll.dll!NtWaitLowEventPair ntdll.dll!NtWorkerFactoryWorkerReady ntdll.dll!NtWriteFile UNKNOWN
User Data Access	GetUserObjectInformation
Anti Debug	IsDebuggerPresent
Other Suspicious	AdjustTokenPrivileges
Process Manipulation Evasion	NtUnmapViewOfSection ReadProcessMemory
Process Shell Execute	CreateProcess
Encryption Used	BCryptOpenAlgorithmProvider

Kabuk Komutu Yürütme

i

Kabuk Komutu Yürütme

Bu bölümde, bu ailedeki örnekler tarafından çalıştırılan Windows kabuk komutları listelenmiştir. Windows kabuk komutları genellikle kötü amaçlı yazılımlar tarafından zararlı amaçlarla kullanılır ve güvenlik ayrıcalıklarını yükseltmek, diğer kötü amaçlı yazılımları indirip çalıştırmak, güvenlik açıklarından yararlanmak, veri toplamak ve sızdırmak ve kötü amaçlı faaliyetleri gizlemek için kullanılabilir.

C:\Windows\Microsoft.NET\Framework64\v2.0.50727\\dw20.exe dw20.exe -x -s 896