威胁数据库 可能不需要的程序 PUP.Gamehack.FFH

PUP.Gamehack.FFH

通过CagedTech在 可能不需要的程序
发布时间：
翻译为：

威胁评分卡

人气排名： 15,302
威胁级别： 10 % (普通的)
受感染的计算机： 138
初见： March 25, 2023
最后一次露面： October 21, 2026
受影响的操作系统： Windows

PUP.Gamehack.FFH是一个检测名称，用于识别与游戏修改工具相关的潜在有害程序 (PUP)，特别是与“游戏玩法工具”组件相关的程序，这些组件通常与 PES（实况足球）系列游戏相关联。虽然该程序并未被归类为高度危险程序，但由于其安装到系统后会表现出许多用户不希望或意想不到的行为，因此仍被归类为“可能有害的程序”。

PUP.Gamehack.FFH 的作用

PUP.Gamehack.FFH 被打包成一个 32 位 Windows DLL 文件，其内部文件信息指向一个与游戏软件关联的“游戏玩法工具”。执行时，该文件可能通过诸如 rundll32.exe 之类的 Windows 实用程序加载。rundll32.exe 本身是一个合法的系统工具，但有时会被滥用以更隐蔽的方式运行可疑代码。这种手法会使普通用户更难注意到异常程序正在运行。

与其他潜在有害程序 (PUP) 一样，此检测可能涉及在安装或运行期间修改 Windows 系统文件或注册表相关的事务日志。虽然该特定样本并未表现出明显的破坏性行为，但它确实会与敏感系统文件交互并使用底层系统调用。其中一些调用与进程操控和反调试技术有关，这些技术通常用于增加程序的分析难度或使其以逃避立即检测的方式运行。

该系列中的典型 PUP 还可能从事以下行为：安装其他不需要的组件、更改浏览器或应用程序设置、显示不需要的广告，或在未明确告知用户的情况下捆绑其他软件。

它通常是如何进入电脑的

像 PUP.Gamehack.FFH 这样的程序通常会与其他免费或盗版软件捆绑在一起，包括游戏修改工具、补丁、作弊器或“非官方”游戏插件。用户可能从第三方网站、论坛或文件共享服务下载此类工具，有时却并未意识到下载过程中还会安装其他软件。很多情况下，用户在未仔细阅读所有条款的情况下，仅凭部分或模糊的同意就完成了安装，因为他们可能只是快速点击安装向导。

用户面临的风险

虽然 PUP.Gamehack.FFH 的总体危险等级较低，但它的存在仍然可能带来风险。由于该工具使用了通常用于规避检测的技术，例如反调试检查和底层内存操作，因此可能难以通过简单的观察来发现。此外，由于该程序会与核心系统文件交互，因此可能导致系统不稳定、意外崩溃或与其他已安装软件冲突。与许多潜在有害程序 (PUP) 一样，未经授权的分销商也可能将该工具重新打包或与其他更有害的组件捆绑在一起。

感染迹象

用户可能会注意到一些意外的后台进程，尤其是涉及 rundll32.exe 的进程，这些进程会启动一些未知的文件。其他迹象包括系统运行速度异常变慢、启动程序中出现陌生的条目，或者下载文件夹中出现一些并非有意保存的文件。由于这类潜在有害程序 (PUP) 并非总是表现出明显的症状，许多用户可能直到系统扫描时才发现它的存在。

如何做好防护

为了避免安装像 PUP.Gamehack.FFH 这样的恶意软件，最好只从官方或信誉良好的来源下载游戏修改器、工具和补丁。仔细阅读安装提示并选择不安装捆绑软件，有助于防止安装不需要的程序。保持安全软件更新并定期进行系统扫描也有助于在此类程序造成进一步问题之前将其移除。

分析报告

一般信息

姓： PUP.Gamehack.FFH
签名状态： No Signature

已知样本

MD5: fa4dff588a25074f03d542a0cf6a1f2e
SHA1: c92711975a2d98cea0ad76e300da6331b04c9a2d
SHA256: 52B57DD3203AE10537AD1E1FA2F7D0A62B39B8D2E0C3D6C97EF6C9FE51457F72
文件大小: 218.62 KB,218624字节

Windows 可移植可执行文件属性

  • File doesn't have "Rich" header
  • File doesn't have debug information
  • File doesn't have security information
  • File has exports table
  • File is 32-bit executable
  • File is either console or GUI application
  • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
  • File is Native application (NOT .NET application)
  • File is not packed
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
显示更多
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Windows PE 版本信息

姓名 价值
Comments PES2013 - Gameplay tool
Company Name Jenkey1002 Production
File Description PES2013 - Gameplay tool
File Version 3.3.5.0
Internal Name Gameplaytool.dll
Legal Copyright Copyright (C) 2012. Jenkey1002
Original Filename Gameplaytool.dll
Product Name PES2013 - Gameplay tool
Product Version 3.3.5.0

文件特征

  • dll
  • HighEntropy
  • x86

区块信息

总区块数： 825
潜在恶意块： 3
白名单区块： 753
未知区块： 69

可视化地图

0 ? ? x ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? 0 0 0 0 0 0 0 0 ? ? 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ? 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ? 0 0 0 0 0 ? 0 0 0 ? ? 0 0 0 0 0 0 0 0 0 0 0 ? ? ? ? ? 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ? ? ? ? ? ? 1 1 0 0 0 ? x ? ? 0 ? x 0 ? ? ? ? ? ? ? ? 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ? ? ? 0 0 0 ? 0 ? 0 0 0 0 0 0 0 ? ? 0 0 0 0 ? 0 ? ? ? ? 0 ? ? ? ? ? 0 0 0 0 ? 0 0 0 0 0 1 1 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 1 1 1 1 2 0 1 0 0 0 0 1 0 0 0 0 0 1 0 0 0 0 0 1 0 0 0 1 1 0 0 0 0 0 0 0 0 0 1 0 0 1 0 0 1 0 0 1 0 0 1 0 0 1 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 1 0 0 0 0 0 0 1 1 0 1 0 0 0 1 0 0 0 0 1 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 1 0 1 1 0 0 1 0 0 0 0 0 0 0 0 0 1 1 3 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 1 1 0 0 0 0 0 0 0 0 0 0 0 0 2 3 0 1 1 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 1 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 1 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 1 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 2 2 1 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 2 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 ? ? ? ? 1
0 - 可能的保险箱
? - 未知区块
x - 潜在恶意拦截

文件已修改

文件 属性
c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.0.regtrans-ms Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.1.regtrans-ms Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.2.regtrans-ms Generic Read,Write Data,Write Attributes,Write extended,Append data

Windows API 使用情况

类别 API
Syscall Use
  • ntdll.dll!NtAlpcSendWaitReceivePort
  • ntdll.dll!NtClose
  • ntdll.dll!NtCreateFile
  • ntdll.dll!NtCreateSection
  • ntdll.dll!NtFreeVirtualMemory
  • ntdll.dll!NtMapViewOfSection
  • ntdll.dll!NtOpenFile
  • ntdll.dll!NtOpenKey
  • ntdll.dll!NtOpenProcessToken
  • ntdll.dll!NtQueryAttributesFile
显示更多
  • ntdll.dll!NtQueryDebugFilterState
  • ntdll.dll!NtQueryInformationProcess
  • ntdll.dll!NtQueryInformationToken
  • ntdll.dll!NtQuerySystemInformationEx
  • ntdll.dll!NtQueryValueKey
  • ntdll.dll!NtQueryVirtualMemory
  • ntdll.dll!NtQueryVolumeInformationFile
  • ntdll.dll!NtReadFile
  • ntdll.dll!NtSetEvent
  • ntdll.dll!NtSetInformationFile
  • ntdll.dll!NtSetInformationProcess
  • ntdll.dll!NtSetInformationVirtualMemory
  • ntdll.dll!NtSetInformationWorkerFactory
  • ntdll.dll!NtTestAlert
  • ntdll.dll!NtTraceControl
  • ntdll.dll!NtUnmapViewOfSection
  • ntdll.dll!NtWriteFile
Process Manipulation Evasion
  • NtUnmapViewOfSection
Process Shell Execute
  • CreateProcess
Anti Debug
  • NtQuerySystemInformation

Shell命令执行

C:\WINDOWS\SysWOW64\rundll32.exe C:\WINDOWS\system32\rundll32.exe c:\users\user\downloads\c92711975a2d98cea0ad76e300da6331b04c9a2d_0000218624.,LiQMAxHB