威胁数据库 可能不需要的程序 PUP.Bulz.LG

PUP.Bulz.LG

通过CagedTech在 可能不需要的程序
发布时间：

威胁评分卡

威胁级别： 10 % (普通的)
初见： December 16, 2024
最后一次露面： October 27, 2026
受影响的操作系统： Windows

PUP.Bulz.LG是一个用于识别针对 Windows 计算机的潜在有害程序 (PUP) 的检测名称。虽然它并未被归类为高度危险，但由于此类软件通常会造成系统干扰，甚至侵犯用户隐私，因此其存在于系统中通常被认为是不受欢迎的。PUP.Bulz.LG 已在 Windows 系统中被发现，从 2024 年 12 月中旬到 2026 年末均有检测到，表明它已持续活跃了相当长一段时间。

PUP.Bulz.LG 的作用

与 PUP.Bulz 系列的其他成员一样，PUP.Bulz.LG 是一款使用 Go 编程语言编写的 64 位 Windows 原生应用程序，其文件结构也证实了这一点。它通常以控制台应用程序的形式运行，而非提供传统的图形界面，这意味着它几乎不会显示任何活动迹象。该程序缺少数字签名、版本信息或资源数据等标准识别信息，这使得用户和某些安全工具难以快速识别它。

一旦激活，PUP.Bulz.LG 可能会执行此类软件的典型操作，包括向临时目录写入文件、建立网络连接以及查询系统信息（例如计算机名称）。这些行为表明该程序可能与远程服务器通信并收集有关受感染计算机的基本信息。此类 PUP 中的许多程序还会更改浏览器设置、安装不需要的工具栏或扩展程序以及显示侵入式广告，但并非每个样本都必然具备所有这些特征。

它通常是如何进入电脑的

像 PUP.Bulz.LG 这样的潜在有害程序 (PUP) 通常通过软件捆绑传播，它们会与用户有意下载的免费或盗版应用程序打包在一起。在安装过程中，这些不需要的组件可能作为预选选项包含在内，用户很容易忽略。在其他情况下，这些程序会通过欺骗性广告、虚假的软件更新提示或第三方下载门户网站入侵系统，这些门户网站会在未明确披露的情况下捆绑其他软件。

用户面临的风险

尽管 PUP.Bulz.LG 的危险等级被评为最低，但它仍然可能给受影响的用户带来问题。潜在风险包括占用带宽的恶意网络活动、将基本系统信息暴露给远程方、系统性能下降，以及可能因捆绑安装而导致其他不需要的软件被安装。用户还可能遇到浏览体验的意外变化，例如出现新的工具栏或默认设置被更改，这些都是此类软件的常见特征。

感染迹象

系统感染此潜在有害程序 (PUP) 的用户可能会注意到临时文件夹中出现陌生文件、后台运行异常进程、系统整体运行速度变慢或网络活动异常。浏览器行为的改变，例如主页发生变化或安装了未经用户许可的新工具栏，也可能是警告信号。

如何做好防护

为了降低遇到 PUP.Bulz.LG 及类似程序的风险，用户应仅从官方和可信来源下载软件，仔细检查安装界面中预先勾选的可选项目，并避免匆忙完成安装向导。保持操作系统和安全软件更新，并定期进行系统扫描，有助于在有害程序造成进一步问题之前将其检测并清除。

分析报告

一般信息

姓： PUP.Bulz.LG
签名状态： No Signature

已知样本

MD5: c8820b30c0eddecf1f704cb853456f37
SHA1: 3a935bacdbfb94907100fb07cca98a64d992508a
SHA256: 5618364F596D107AD6ACD4B632A0D351699B7ADF9D7ECD43965157189AEE0958
文件大小: 4.47 MB,4468288字节

Windows 可移植可执行文件属性

  • File doesn't have "Rich" header
  • File doesn't have debug information
  • File doesn't have exports table
  • File doesn't have relocations information
  • File doesn't have resources
  • File doesn't have security information
  • File is 64-bit executable
  • File is console application (IMAGE_SUBSYSTEM_WINDOWS_CUI)
  • File is either console or GUI application
  • File is Native application (NOT .NET application)
Show 3 more
  • File is not packed
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

文件特征

  • golang
  • No Version Info
  • x64

区块信息

总区块数： 545
潜在恶意块： 1
白名单区块： 544
未知区块： 0

可视化地图

0 - 可能的保险箱
? - 未知区块
x - 潜在恶意拦截

相似家庭

  • Bulz.LG
  • Bulz.PB
  • Go.Agent.B

文件已修改

文件 属性
\device\namedpipe\wkssvc Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\temp\overdrive.exe Generic Read,Write Data,Write Attributes,Write extended,Append data

注册表修改

键::值 数据 API名称
HKLM\software\microsoft\windows\currentversion\run::overdrive C:\Users\Xreijsud\AppData\Local\Temp\overdrive.exe RegNtPreCreateKey

Windows API 使用情况

类别 API
Syscall Use
  • ntdll.dll!NtAlpcConnectPort
  • ntdll.dll!NtAlpcConnectPortEx
  • ntdll.dll!NtAlpcCreateResourceReserve
  • ntdll.dll!NtAlpcCreateSecurityContext
  • ntdll.dll!NtAlpcDeleteSecurityContext
  • ntdll.dll!NtAlpcQueryInformation
  • ntdll.dll!NtAlpcQueryInformationMessage
  • ntdll.dll!NtAlpcSendWaitReceivePort
  • ntdll.dll!NtAlpcSetInformation
  • ntdll.dll!NtApphelpCacheControl
Show 57 more
  • ntdll.dll!NtAssociateWaitCompletionPacket
  • ntdll.dll!NtClose
  • ntdll.dll!NtCreateEvent
  • ntdll.dll!NtCreateIoCompletion
  • ntdll.dll!NtCreateKey
  • ntdll.dll!NtCreateSection
  • ntdll.dll!NtCreateTimer2
  • ntdll.dll!NtCreateWaitCompletionPacket
  • ntdll.dll!NtCreateWorkerFactory
  • ntdll.dll!NtDeviceIoControlFile
  • ntdll.dll!NtDuplicateObject
  • ntdll.dll!NtFreeVirtualMemory
  • ntdll.dll!NtMapViewOfSection
  • ntdll.dll!NtOpenDirectoryObject
  • ntdll.dll!NtOpenFile
  • ntdll.dll!NtOpenKey
  • ntdll.dll!NtOpenKeyEx
  • ntdll.dll!NtOpenProcess
  • ntdll.dll!NtOpenProcessToken
  • ntdll.dll!NtOpenSection
  • ntdll.dll!NtOpenThreadToken
  • ntdll.dll!NtPowerInformation
  • ntdll.dll!NtProtectVirtualMemory
  • ntdll.dll!NtQueryAttributesFile
  • ntdll.dll!NtQueryInformationProcess
  • ntdll.dll!NtQueryInformationThread
  • ntdll.dll!NtQueryInformationToken
  • ntdll.dll!NtQueryKey
  • ntdll.dll!NtQueryLicenseValue
  • ntdll.dll!NtQueryPerformanceCounter
  • ntdll.dll!NtQuerySecurityObject
  • ntdll.dll!NtQuerySystemInformation
  • ntdll.dll!NtQuerySystemInformationEx
  • ntdll.dll!NtQueryTimerResolution
  • ntdll.dll!NtQueryValueKey
  • ntdll.dll!NtQueryVirtualMemory
  • ntdll.dll!NtQueryWnfStateData
  • ntdll.dll!NtReadRequestData
  • ntdll.dll!NtReleaseWorkerFactoryWorker
  • ntdll.dll!NtRemoveIoCompletionEx
  • ntdll.dll!NtSetEvent
  • ntdll.dll!NtSetInformationProcess
  • ntdll.dll!NtSetInformationThread
  • ntdll.dll!NtSetInformationVirtualMemory
  • ntdll.dll!NtSetInformationWorkerFactory
  • ntdll.dll!NtSetTimer2
  • ntdll.dll!NtSetTimerResolution
  • ntdll.dll!NtSubscribeWnfStateChange
  • ntdll.dll!NtTestAlert
  • ntdll.dll!NtTraceControl
  • ntdll.dll!NtUnmapViewOfSection
  • ntdll.dll!NtWaitForSingleObject
  • ntdll.dll!NtWaitForWorkViaWorkerFactory
  • ntdll.dll!NtWorkerFactoryWorkerReady
  • ntdll.dll!NtWriteFile
  • ntdll.dll!NtYieldExecution
  • UNKNOWN
Network Winsock2
  • WSASend
  • WSAStartup
  • WSAttemptAutodialName
Network Winsock
  • connect
  • freeaddrinfo
  • getaddrinfo
  • getpeername
  • getsockname
  • setsockopt
  • socket
User Data Access
  • GetComputerNameEx