PUP.ProcessHacker.A

PUP.ProcessHacker.A, meşru açık kaynaklı Process Hacker yardımcı programına dayanan veya onun kılığına bürünmüş potansiyel olarak istenmeyen bir programı (PUP) işaretlemek için kullanılan bir tespit adıdır. Orijinal araç meşru bir sistem izleme uygulaması olsa da, bu tespit, programın kullanıcıları riske atabilecek şekilde dağıtıldığı, paketlendiği veya kullanıldığı durumları veya gelişmiş sistem düzeyindeki yeteneklerinin kullanıcının tam anlayışı veya onayı olmadan diğer istenmeyen veya kötü amaçlı yazılımlar tarafından kullanıldığı durumları belirler.

PUP.ProcessHacker.A Ne Yapar?

Bu tespit, sistem işlemi ve bellek yönetimi yardımcı programı olarak işlev gören 64 bitlik bir Windows yürütülebilir dosyası için geçerlidir. Bu kategorideki araçlar genellikle çalışan işlemleri görüntüleme ve yönetme, hizmetleri inceleme ve Windows işletim sistemiyle derinlemesine etkileşim kurma yeteneği sağlar. Gözlemlenen teknik özelliklere dayanarak, bu program dosyalara yazabilir, kayıt defteri anahtarlarını açıp sorgulayabilir, Windows Hizmet Denetim Yöneticisi ile etkileşim kurabilir ve diğer işlemler içindeki bellek bölümlerini tahsis edebilir, eşleyebilir veya serbest bırakabilir.

Bu yetenekler doğası gereği kötü amaçlı değildir; meşru teşhis ve yönetim araçları tarafından kullanılan işlevlerin aynısıdır. Bununla birlikte, reklam yazılımları, istenmeyen tarayıcı eklentileri veya diğer PUP yükleyicileriyle birlikte paketlendiğinde, bu tür bir yardımcı program, güvenlik yazılımlarına müdahale etmek, koruyucu işlemleri sonlandırmak veya sistemde çalışan diğer uygulamaları manipüle etmek için yeniden kullanılabilir. Hata ayıklama önleyici kontrollerin ve düşük seviyeli sistem çağrısı kullanımının varlığı, programın gizlilik ve analize karşı direnç gösterecek şekilde tasarlandığını göstermektedir; bu, kolayca kaldırılmaktan veya tespit edilmekten kaçınmak isteyen PUP'ların ortak bir özelliğidir.

Genellikle Bilgisayarlara Nasıl Bulaşır?

Çoğu potansiyel istenmeyen program gibi, PUP.ProcessHacker.A da genellikle doğrudan ve kasıtlı indirmeler yoluyla gelmez. Bunun yerine, genellikle üçüncü taraf web sitelerinden, yazılım indirme portallarından veya eşler arası dosya paylaşım ağlarından indirilen ücretsiz yazılımlarla birlikte gelir. Kullanıcılar, yazılım yükleme sihirbazlarını aceleyle geçerek, isteğe bağlı eklentileri incelemeden "İleri"ye tıklayarak veya istenen uygulamanın yanında ek, istenmeyen programları sessizce içeren kırılmış veya yeniden paketlenmiş yükleyicileri indirerek istemeden yükleyebilirler.

Kullanıcı İçin Riskler

Düşük tehlike seviyesinde derecelendirilmiş olsa da, bu tür PUP'lar yine de risk oluşturabilir. Diğer süreçlerdeki bellekle etkileşime girme ve hassas kayıt defteri bilgilerini sorgulama yeteneğine sahip olduğundan, güvenlik araçlarının veya diğer yazılımların normal çalışmasına müdahale etmek için potansiyel olarak kullanılabilir. Kullanıcılar ayrıca, bu tespit daha büyük bir dağıtım paketinin parçasıysa, sistem davranışında istenmeyen değişiklikler, performans düşüşü veya daha fazla istenmeyen paketlenmiş yazılıma maruz kalma gibi sorunlar yaşayabilirler.

Enfeksiyon Belirtileri

Kullanıcılar, kasıtlı olarak yüklemedikleri, arka planda çalışan alışılmadık bir sistem yardımcı programı, yüklü programlar listelerinde beklenmedik girdiler veya sistem süreçleri ve hizmetleriyle ilgili olağandışı etkinlikler fark edebilirler. Bazı durumlarda, güvenlik yazılımı, başka belirgin belirtiler olmaksızın rutin bir tarama sırasında dosyayı işaretleyebilir.

Korunmanın Yolları

Bu tür istenmeyen programlardan (PUP'lardan) kaçınmak için, yazılımları her zaman üçüncü taraf toplayıcılardan değil, doğrudan resmi satıcı web sitelerinden indirin. Kurulum sırasında, ek özelliklerin incelenip reddedilebilmesi için "Özel" veya "Gelişmiş" kurulum seçeneklerini seçin. İşletim sisteminizi ve güvenlik yazılımınızı güncel tutun ve düzenli sistem taramaları yapın. Bu tespit sisteminizde görünürse, yakın zamanda yüklenen programları inceleyin ve tanıdık olmayan veya istenmeyen her şeyi kaldırın.

Analiz raporu

Genel bilgi

Soyadı:	PUP.ProcessHacker.A
İmza durumu:	No Signature

Bilinen Örnekler

i

Bilinen Örnekler

Bu bölümde, bu aileyle ilişkili olduğuna inanılan diğer dosya örnekleri listelenmiştir.

MD5: 87c9a93a9edb976b71eaa1d9603b896e SHA1: 906050ef2c87db0ec9a9b96032ac9d4231f8992f SHA256: 2B8D618874534A9BFEA8E79C910C7EE6BA023945F3FCC6FE4C91AF71A244859A Dosya boyutu: 1.78 MB.1778208 bayt

Windows Taşınabilir Çalıştırılabilir Dosya Özellikleri

i

Windows Taşınabilir Çalıştırılabilir Dosya Özellikleri

Bu bölümde, örnek dosyalarda bulunan dosya öznitelikleri listelenmiştir. Bu öznitelikler, dosyaların Windows PE (Taşınabilir Çalıştırılabilir) spesifikasyonundan ve çeşitli sistem bayraklarından çıkarılır. Taşınabilir Çalıştırılabilir Öznitelikler, kötü amaçlı yazılım araştırmacılarına bir dosyanın işlevselliği, çalıştırılabilir ayrıntıları, platformu ve çalışma ortamı hakkında bilgi verir.

• File doesn't have "Rich" header
• File has exports table
• File is 64-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Dosya Simgeleri

i

Dosya Simgeleri

Bu bölümde, aile örnekleri içinde bulunan simge kaynakları gösterilmektedir. Kötü amaçlı yazılımlar, kullanıcıları kötü amaçlı yazılımın güvenli olduğuna inandırmak için genellikle meşru yazılımlarla ilişkilendirilen simgeleri kopyalar.

Windows PE Sürüm Bilgileri

i

Windows PE Sürüm Bilgileri

Bu bölümde, bu aileye ait örnekler için Windows dosya sürüm bilgisi veri yapısında ayarlanmış değerler ve öznitelikler görüntülenir. Kullanıcıları yanıltmak için, kötü amaçlı yazılım saldırganları genellikle meşru yazılımları taklit eden sahte sürüm bilgileri ekler.

isim	Değer
File Version	2.39.0.124
Legal Copyright	Licensed under the GNU GPL, v3.
Original Filename	⸠exe
Product Name	⸠ Hacker
Product Version	2.39.0.124

Dosya Özellikleri

• ntdll
• WriteProcessMemory
• x64

Blok Bilgileri

i

Blok Bilgileri

Analiz sırasında EnigmaSoft, dosya örneklerini sınıflandırma ve diğer örneklerle karşılaştırma için mantıksal bloklara ayırır. Bloklar, kötü amaçlı yazılım tespit kuralları oluşturmak ve dosya örneklerini paylaşılan kaynak koduna, işlevselliğe ve diğer ayırt edici özelliklere ve niteliklere göre gruplara ayırmak için kullanılabilir. Bu bölümde, bu blok verilerinin bir özeti ve EnigmaSoft tarafından yapılan sınıflandırması listelenmiştir. Ayrıca, mevcutsa, blok verilerinin görsel bir temsili de gösterilmektedir.

Toplam Blok Sayısı:	4,864
Potansiyel Olarak Zararlı Bloklar:	3,100
Beyaz Listeye Alınan Bloklar:	1,764
Bilinmeyen Bloklar:	0

Görsel Harita

... Veriler kırpıldı

0 - Muhtemel Güvenli Blok
? - Bilinmeyen Blok
x - Potansiyel Olarak Kötü Amaçlı Engelleme

Benzer Aileler

i

Benzer Aileler

Bu bölümde, EnigmaSoft'un analizine dayanarak bu aileyle benzerlikler gösteren diğer aileler listelenmiştir. Birçok kötü amaçlı yazılım ailesi aynı kötü amaçlı yazılım araç setlerinden oluşturulur ve aynı paketleme ve şifreleme tekniklerini kullanır, ancak işlevselliği benzersiz bir şekilde genişletir. Benzer aileler ayrıca kaynak kodunu, öznitelikleri, simgeleri, alt bileşenleri, tehlikeye atılmış ve/veya geçersiz dijital imzaları ve ağ özelliklerini de paylaşabilir. Araştırmacılar, dosya örneklerini hızlı ve etkili bir şekilde sınıflandırmak ve kötü amaçlı yazılım tespit kurallarını genişletmek için bu benzerliklerden yararlanır.

• ProcessHacker.A

Değiştirilen Dosyalar

i

Değiştirilen Dosyalar

Bu bölümde, bu ailedeki örnekler tarafından oluşturulan, değiştirilen, taşınan ve/veya silinen dosyalar listelenmiştir. Dosya sistemi etkinliği, kötü amaçlı yazılımların işletim sisteminde nasıl çalıştığına dair değerli bilgiler sağlayabilir.

Dosya	Özellikler
c:\users\user\downloads\temp\shsandbox-x64.dll-5.23.1.9999-x64.dmp	Generic Read,Write Data,Write Attributes,Write extended,Append data

Windows API Kullanımı

i

Windows API Kullanımı

Bu bölümde, bu ailedeki örnekler tarafından kullanılan Windows API çağrıları listelenmiştir. Windows API kullanım analizi, keylogging, güvenlik ayrıcalığı yükseltme, veri şifreleme, veri sızdırma, antivirüs yazılımlarına müdahale ve ağ isteği manipülasyonu gibi kötü amaçlı faaliyetleri belirlemeye yardımcı olabilecek değerli bir araçtır.

Kategori	API
Syscall Use	ntdll.dll!NtAddAtomEx ntdll.dll!NtAdjustPrivilegesToken ntdll.dll!NtAlpcSendWaitReceivePort ntdll.dll!NtClose ntdll.dll!NtConnectPort ntdll.dll!NtCreateKeyedEvent ntdll.dll!NtCreateSection ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtMapViewOfSection ntdll.dll!NtOpenFile Show 28 more ntdll.dll!NtOpenKey ntdll.dll!NtOpenKeyEx ntdll.dll!NtOpenProcessToken ntdll.dll!NtProtectVirtualMemory ntdll.dll!NtQueryAttributesFile ntdll.dll!NtQueryInformationFile ntdll.dll!NtQueryInformationProcess ntdll.dll!NtQueryInformationToken ntdll.dll!NtQueryKey ntdll.dll!NtQueryLicenseValue ntdll.dll!NtQuerySecurityAttributesToken ntdll.dll!NtQueryValueKey ntdll.dll!NtQueryVirtualMemory ntdll.dll!NtQueryVolumeInformationFile ntdll.dll!NtReadRequestData ntdll.dll!NtReleaseWorkerFactoryWorker ntdll.dll!NtRequestWaitReplyPort ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationProcess ntdll.dll!NtSetInformationVirtualMemory ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtTestAlert ntdll.dll!NtTraceControl ntdll.dll!NtUnmapViewOfSection ntdll.dll!NtWaitForWorkViaWorkerFactory ntdll.dll!NtWaitLowEventPair ntdll.dll!NtWriteFile UNKNOWN
Anti Debug	IsDebuggerPresent
User Data Access	GetUserObjectInformation
Service Control	OpenSCManager OpenService