威胁数据库 可能不需要的程序 PUP.Gamehack.DDFC

PUP.Gamehack.DDFC

通过CagedTech在 可能不需要的程序
发布时间：
最后更新：
翻译为：

威胁评分卡

威胁级别： 10 % (普通的)
受感染的计算机： 1
初见： July 6, 2026
最后一次露面： September 28, 2026
受影响的操作系统： Windows

PUP.Gamehack.DDFC是一个检测名称，用于识别与游戏破解或游戏修改工具相关的潜在有害程序 (PUP)。被此检测标记的程序通常与声称可以修改、作弊或解锁视频游戏功能的实用程序捆绑在一起或伪装成此类实用程序。虽然名称暗示其与游戏工具相关，但此类检测通常被归类为潜在有害程序，而非纯粹的恶意软件，这意味着该程序可能并非旨在造成损害，但仍然可能给计算机带来风险、不稳定或不必要的更改。

PUP.Gamehack.DDFC 的作用

被检测为 PUP.Gamehack.DDFC 的程序通常伪装成“游戏破解程序”、修改器、作弊引擎或游戏修改工具，声称能够为用户提供游戏优势，例如无限游戏币、解锁关卡或修改游戏机制。实际上，此类软件的行为往往超出其宣称的用途。这类工具通常会在后台运行进程、修改系统或浏览器设置、显示广告，或在未明确告知用户的情况下捆绑其他第三方软件。有些程序甚至可能试图收集系统或用户活动信息。由于每个样本的具体行为可能有所不同，用户应谨慎对待此类程序，切勿仅仅因为其声称是游戏相关工具就想当然地认为它是安全的。

它通常是如何进入电脑的

游戏破解和作弊工具很少通过官方或可信渠道分发。它们通常从第三方网站、文件共享平台、论坛或宣传“免费”游戏修改的视频描述中下载。许多用户在网上搜索特定游戏的作弊码、修改器或解锁方法时会遇到这些工具。在其他情况下，这类潜在有害程序 (PUP) 可能与其他免费下载捆绑在一起，作为可选安装步骤，用户如果匆忙完成安装过程而没有仔细阅读每个提示，就可能忽略它。

用户面临的风险

即使游戏破解工具看起来运行正常，也可能存在诸多风险。这些程序可能违反目标游戏的条款，导致账号被封禁或暂停。更重要的是，由于此类工具通常来自未经核实的来源，它们可能成为其他恶意软件、广告软件或其他更严重威胁的传播途径。用户安装后还可能遇到系统性能下降、弹出窗口异常、浏览器更改或设备上出现陌生程序等问题。

感染迹象

系统可能安装了类似 PUP.Gamehack.DDFC 的程序，其典型迹象包括：突然出现陌生的应用程序或图标、正常浏览时广告增多、浏览器主页或搜索设置发生更改、系统运行速度变慢，或者安全工具在扫描过程中标记出相关文件。异常的网络活动或后台运行的陌生进程也可能是此类软件的迹象。

如何做好防护

用户可以通过避免从非官方或未经验证的网站下载软件来降低遇到此类潜在有害程序 (PUP) 的风险，尤其是一些推广游戏作弊或破解程序的网站。建议仔细检查软件安装向导的每个步骤，并拒绝任何不必要的捆绑安装。安装并保持更新信誉良好的安全解决方案，并定期扫描系统，有助于在有害程序造成进一步问题之前将其检测并清除。如果对下载文件的合法性有任何疑问，最好完全避免运行它。

分析报告

一般信息

姓： PUP.Gamehack.DDFC
签名状态： No Signature

已知样本

MD5: cbecc30416d442a0e5a764aece551aaa
SHA1: 24cdc9b23654de055ef984306067ee4ef229db3e
SHA256: 68F95348D27867267E99D41246E7B5B1180BBF3AFC5D7A1BD48CED820DE8101B
文件大小: 5.87 MB,5865472字节

Windows 可移植可执行文件属性

  • File doesn't have "Rich" header
  • File doesn't have exports table
  • File doesn't have security information
  • File has TLS information
  • File is 64-bit executable
  • File is either console or GUI application
  • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
  • File is Native application (NOT .NET application)
  • File is not packed
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
显示更多
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

文件图标

Windows PE 版本信息

姓名 价值
Company Name Rift
File Description Rift
File Version 1.2.20
Internal Name Rift
Original Filename Rift.exe
Product Name Rift
Product Version 1.2.20

文件特征

  • CryptUnprotectData
  • HighEntropy
  • imgui
  • WriteProcessMemory
  • x64

区块信息

总区块数： 8,085
潜在恶意块： 939
白名单区块： 5,732
未知区块： 1,414

可视化地图

x 0 0 0 0 0 0 0 0 0 0 0 0 x x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ? ? ? ? 0 0 0 0 0 0 0 0 0 0 ? ? ? ? 0 0 0 0 0 ? ? ? ? 0 ? ? 0 x 0 0 0 0 ? ? ? ? 0 0 ? ? 0 ? 0 ? ? ? ? ? 0 0 0 1 0 0 ? x ? ? ? ? 0 ? 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ? ? ? ? ? ? ? ? ? 0 0 ? ? ? 0 ? 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 ? 0 ? ? ? ? 0 0 ? ? ? 0 ? ? ? ? ? ? 0 ? ? ? ? ? 0 0 ? ? ? ? ? ? ? 0 0 ? ? 0 ? ? ? ? 0 0 ? ? ? 0 0 0 0 0 0 0 0 0 1 x 0 0 0 0 0 x ? 0 ? 0 0 ? ? ? ? ? ? ? ? ? ? ? ? x 0 0 0 0 x 0 0 x x 0 0 x 0 0 0 0 0 x x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x x 0 0 0 0 0 0 0 0 0 0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x 0 1 0 0 0 0 0 0 x x x 0 0 x x 0 0 0 0 0 0 0 0 x x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x 0 0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x 0 x x 0 0 0 0 x x 0 0 0 0 0 x ? ? ? 0 0 0 0 0 0 0 0 0 0 0 0 0 ? 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 ? ? ? ? ? ? ? ? 0 0 0 0 0 0 0 1 0 0 ? 0 ? 0 0 0 0 ? x ? ? ? 0 ? ? ? 0 0 ? ? ? ? 0 ? 0 ? 0 ? ? ? ? ? ? ? ? x 0 ? ? ? 0 ? ? 0 0 0 ? ? 0 ? ? ? ? ? ? ? ? x ? 0 ? ? ? ? ? ? ? 0 0 ? ? ? ? ? ? ? 0 ? ? 0 ? ? ? ? ? ? 0 ? ? ? ? ? ? ? ? ? ? 0 ? ? ? ? ? ? 0 ? ? ? ? ? ? ? ? ? 0 0 ? ? ? 0 ? ? 0 0 ? ? 0 ? ? ? 0 0 0 0 0 0 0 0 ? 0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? 0 0 ? ? ? 0 ? ? ? 0 ? ? ? 0 ? ? ? ? 0 0 ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? 0 ? 0 ? 0 ? ? ? ? ? ? ? ? ? ? ? ? ? ? 0 0 ? ? 0 ? ? 0 ? ? ? ? ? ? ? ? ? ? ? 0 ? ? ? ? ? ? ? ? 0 ? ? 0 ? ? ? ? ? ? ? ? ? 1 ? 0 ? ? ? ? 0 0 ? 0 0 ? ? ? 0 ? 0 0 ? 0 ? 0 ? ? ? ? ? ? 0 ? ? ? 0 ? ? ? ? ? ? 0 ? ? ? ? ? 0 ? ? ? ? 0 ? ? ? ? 0 ? ? ? 0 ? ? ? 0 ? ? ? ? 0 ? ? ? ? 0 ? ? ? ? ? ? 0 ? ? ? 0 ? ? ? ? 0 ? ? ? 0 ? ? ? ? 0 ? ? ? ? 0 ? ? ? 0 ? ? ? ? 0 0 0 0 0 0 1 0 0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ? ? 0 ? ? 0 ? 0 ? 0 ? ? ? ? ? 0 ? ? 0 ? ? ? ? 0 ? ? 0 ? ? ? 0 ? ? ? 0 ? ? ? ? ? ? ? ? 0 ? ? ? ? 0 0 0 0 0 ? 0 ? 0 0 0 0 0 ? ? 0 ? x 0 ? x 0 ? ? ? ? 0 0 ? ? ? ? 0 ? ? ? ? 0 ? ? 0 0 0 x 0 x 0 0 0 0 0 0 0 0 0 0 x x x x 0 0 0 0 0 0 1 0 0 x x x ? ? 0 x 0 x 0 0 0 0 0 0 0 0 x x x x 0 x x x ? ? 0 ? x x ? ? 0 ? ? ? ? ? ? 0 0 ? ? ? ? 0 ? 0 0 x ? x ? ? ? 0 0 ? 0 ? 0 ? ? ? ? ? 0 ? 0 0 0 0 0 0 0 0 0 ? 0 0 0 ? 0 0 0 0 x x ? 0 ? 0 ? 0 x x x 0 0 ? 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x 0 0 0 0 0 0 x 0 0 0 0 0 ? 0 0 0 ? 0 0 x 0 0 0 0 0 x 0 0 0 0 x 0 x x x 0 0 0 0 x 1 0 0 0 0 0 0 0 0 x 0 0 0 0 0 x 0 0 0 0 0 x 0 0 0 0 x 0 0 0 0 0 0 0 0 0 0 x 0 0 0 0 x 0 0 0 0 0 0 0 0 x 0 x x 0 x 0 0 0 0 0 0 0 0 0 0 x x x x 0 x 0 0 x 0 0 0 0 0 x x x 0 0 x 0 0 x 0 0 0 x x x x 0 0 0 x x 1 x 0 0 0 0 0 0 x x x 0 0 0 0 0 x 0 x 0 x 0 0 0 x x x 0 x 0 x 0 0 x 0 0 0 0 x x x x x 0 0 x x 0 x x 0 0 0 x 0 x 0 0 0 0 0 0 x 0 0 x x x x 0 0 0 0 x 0 x 0 0 x 0 x 0 x 0 x 0 0 0 0 0 0 0 0 0 0 0 x x x 0 x x x x x 0 x x 0 x 0 x x 0 0 0 ? x ? 0 ? x 0 0 0 0 ? x 0 0 0 0 0 0 x 0 0 x 0 0 x x x 0 x x x 0 0 x 0 0 0 0 x 0 x x x 0 0 x x 0 x x 0 0 0 0 0 0 0 x 0 0 0 0 x 0 0 0 x x 0 0 0 x 0 0 x x 0 0 0 0 0 0 0 0 0 0 0 0 x 0 0 0 0 0 x 0 0 0 0 x x 0 x x 0 x 0 0 0 0 0 0 0 0 0 0 0 x 0 0 x x 0 x 0 0 x 0 0 x x 0 0 0 0 0 0 0 0 x 0 0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x 0 0 0 0 x 0 0 0 x 0 x x 0 0 0 x x 0 0 0 0 0 x 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 x 0 0 x x x x 0 0 0 0 0 0 0 1 0 x 0 0 0 0 x x 0 x 0 0 0 x 0 0 0 0 0 0 0 0 0 0 0 0 x 0 x 0 x x 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x x 0 0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 x 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 x 0 x 0 0 0 0 x 0 x 0 0 x x 0 0 0 0 0 0 0 0 0 0 0 0 0 x 0 0 0 x x 0 x 0 0 0 0 0 x x 0 0 0 0 0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 1 0 0 0 0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x 0 0 0 0 0 0 x 0 0 0 0 0 0 0 0 0 0 0 x 0 0 0 0 0 0 0 0 x x 0 0 0 0 0 0 0 x 0 0 0 0 0 x x 0 0 0 0 0 0 0 1 0 0 x 0 0 0 0 0 0 0 0 0 0 0 0 x 0 x 0 x 1 0 0 x x 0 0 x x 0 0 0 0 0 0 0 x x x x 0 0 x 0 1
... 数据已截断
0 - 可能的保险箱
? - 未知区块
x - 潜在恶意拦截

文件已修改

文件 属性
c:\users\user\appdata\local\microsoft\windows\caches\8f1719eb8e398619 Synchronize,Write Attributes
c:\users\user\appdata\local\microsoft\windows\caches\8f1719eb8e398619\wmi8f1719.exe Synchronize,Write Attributes
c:\users\user\appdata\local\microsoft\windows\caches\8f1719eb8e398619\wmi8f1719.exe Synchronize,Write Data
c:\users\user\appdata\local\microsoft\windows\caches\8f1719eb8e398619\wmi8f1719.exe.~ Generic Write,Read Attributes

Windows API 使用情况

类别 API
Syscall Use
  • ntdll.dll!NtAddAtomEx
  • ntdll.dll!NtAssociateWaitCompletionPacket
  • ntdll.dll!NtCancelWaitCompletionPacket
  • ntdll.dll!NtClose
  • ntdll.dll!NtCreateKey
  • ntdll.dll!NtCreateThreadEx
  • ntdll.dll!NtNotifyChangeKey
  • ntdll.dll!NtOpenKeyEx
  • ntdll.dll!NtQueryInformationProcess
  • ntdll.dll!NtQueryKey
显示更多
  • ntdll.dll!NtQuerySecurityAttributesToken
  • ntdll.dll!NtQuerySystemInformation
  • ntdll.dll!NtQueryValueKey
  • ntdll.dll!NtQueryVirtualMemory
  • ntdll.dll!NtReadVirtualMemory
  • ntdll.dll!NtReleaseWorkerFactoryWorker
  • ntdll.dll!NtSetEvent
  • ntdll.dll!NtSetInformationObject
  • ntdll.dll!NtSetInformationVirtualMemory
  • ntdll.dll!NtSetInformationWorkerFactory
  • ntdll.dll!NtSetTimer2
  • ntdll.dll!NtTestAlert
  • ntdll.dll!NtTraceControl
  • ntdll.dll!NtWaitForWorkViaWorkerFactory
  • ntdll.dll!NtWaitLowEventPair
  • ntdll.dll!NtWorkerFactoryWorkerReady
  • ntdll.dll!NtWriteFile
  • UNKNOWN
User Data Access
  • GetComputerName
  • GetUserName
Network Winhttp
  • WinHttpConnect
  • WinHttpOpen
  • WinHttpOpenRequest
  • WinHttpReceiveResponse
  • WinHttpSendRequest
Encryption Used
  • BCryptOpenAlgorithmProvider
Process Manipulation Evasion
  • NtUnmapViewOfSection
Process Shell Execute
  • CreateProcess

Shell命令执行

C:\Users\Afqbicgh\AppData\Local\Microsoft\Windows\Caches\8f1719eb8e398619\WMI8f1719.exe (NULL)