PUP.Gamehack.GAI
威胁评分卡
EnigmaSoft 威胁记分卡
EnigmaSoft 威胁记分卡是针对不同恶意软件威胁的评估报告，由我们的研究团队收集和分析。 EnigmaSoft 威胁记分卡使用多个指标对威胁进行评估和排名，包括现实世界和潜在风险因素、趋势、频率、普遍性和持续性。 EnigmaSoft 威胁记分卡会根据我们的研究数据和指标定期更新，对广泛的计算机用户有用，从寻求解决方案以从系统中删除恶意软件的最终用户到分析威胁的安全专家。
EnigmaSoft 威胁记分卡显示各种有用的信息，包括：
流行度排名： EnigmaSoft威胁数据库中特定威胁的排名。
严重性级别：根据我们的风险建模过程和研究，确定的对象的严重性级别，以数字形式表示，如我们的威胁评估标准中所述。
受感染计算机： SpyHunter 报告的在受感染计算机上检测到的特定威胁的确认和疑似案例数量。
另请参阅威胁评估标准。
| 人气排名： | 21,745 |
| 威胁级别： | 10 % (普通的) |
| 受感染的计算机： | 330 |
| 初见： | March 30, 2022 |
| 最后一次露面： | September 8, 2026 |
| 受影响的操作系统： | Windows |
PUP.Gamehack.GAI 是一个检测名称，用于识别一种潜在有害程序 (PUP)，它通常与游戏破解或游戏修改工具相关。虽然其总体危险等级较低，但仍需认真对待此检测结果，因为此类软件通常会在系统中执行超出普通用户预期或认可范围的操作，例如直接与正在运行的其他进程的内存交互。
目录
PUP.Gamehack.GAI 的作用
被此检测方法标记的程序是原生 64 位 Windows 应用程序，它们没有自己的图形界面，而是依赖控制台式的操作。对这类程序的分析表明，它们能够使用底层 Windows 函数读写其他进程的内存空间。这种技术常被游戏修改器、作弊引擎和内存修改工具用来篡改正在运行的游戏中的数值，例如分数、生命值或游戏币。
这类程序通常会直接与系统组件进行相当深层次的交互，利用核心 Windows 系统调用来查询信息、打开注册表项和管理内存区域。此类程序的某些变种甚至可能尝试从进程中取消映射内存区域，这种技术可用于操纵进程。虽然这种行为通常是为了修改游戏，但其他类型的恶意软件也可能滥用这些技术，这也是安全工具会标记此类行为而不是忽略它的原因之一。
一般来说，Gamehack 系列的 PUP 程序不会直接窃取数据，但如果与其他不需要的组件捆绑在一起，它们可能会造成系统不稳定、触发反作弊系统，或者导致更严重的问题。
它通常是如何进入电脑的
被检测为 PUP.Gamehack.GAI 的软件通常是由用户从第三方网站、文件共享平台或非官方论坛下载的，这些用户通常是为了寻找游戏修改器、作弊工具或程序修改工具。与此类软件常见的情况一样，它也可能与其他免费应用程序捆绑在一起，这意味着用户在安装其他程序时，可能在不知情的情况下将其作为辅助组件安装。
用户面临的风险
虽然这类程序被归类为低风险程序，但仍存在一些风险。直接写入其他进程的内存可能会导致游戏或其他应用程序崩溃或运行异常。如果反作弊系统检测到内存操作，游戏账号可能会被暂停或封禁。此外，由于这些工具通常来自非官方或未经核实的来源，因此下载的文件可能除了预期的游戏破解程序外，还包含其他不需要的组件。
感染迹象
用户可能会注意到下载文件夹或临时文件夹中出现意外文件、后台进程异常占用资源、游戏无故崩溃或卡死，或者安全软件在安装后不久就标记下载的文件。由于这类程序通常不会安装可见的工具栏或更改浏览器设置，因此如果不进行安全扫描，可能很难发现其存在。
如何做好防护
为了降低遇到此类潜在有害程序 (PUP) 的几率，请避免从非官方或未经验证的网站下载游戏修改器、作弊引擎或修改工具。安装软件时务必仔细阅读说明，并取消任何捆绑安装的软件。保持安全软件处于激活状态并及时更新，并在运行下载的文件之前定期扫描这些文件，尤其是从文件共享网站或论坛下载的文件。
分析报告
一般信息
| 姓： | PUP.Gamehack.GAI |
|---|---|
| 签名状态： | No Signature |
已知样本
已知样本
本节列出了其他据信与该家族有关的文件样本。|
MD5:
09a1dd3965b1c9ad16deaf93d79e824d
SHA1:
fef9911719eb63fccd2b178d38d40ec33e7373c5
SHA256:
B6844A01F62423144986A8F67FABA952DB6C0DA5019D00BD305F923D197E7682
文件大小:
1.34 MB,1339095字节
|
Windows 可移植可执行文件属性
- File doesn't have "Rich" header
- File doesn't have exports table
- File doesn't have security information
- File has TLS information
- File is 64-bit executable
- File is console application (IMAGE_SUBSYSTEM_WINDOWS_CUI)
- File is either console or GUI application
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
Show 1 more
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
文件特征
- HighEntropy
- imgui
- No Version Info
- ntdll
- VirtualQueryEx
- WriteProcessMemory
- x64
区块信息
区块信息
在分析过程中，EnigmaSoft 会将文件样本分解成逻辑块，以便进行分类并与其他样本进行比较。这些逻辑块可用于生成恶意软件检测规则，并根据共享的源代码、功能以及其他显著属性和特征将文件样本分组到不同的家族中。本节概述了这些逻辑块数据及其 EnigmaSoft 分类结果。如果可用，还会显示逻辑块数据的可视化表示。| 总区块数： | 2,809 |
|---|---|
| 潜在恶意块： | 90 |
| 白名单区块： | 2,079 |
| 未知区块： | 640 |
可视化地图
... 数据已截断? - 未知区块
x - 潜在恶意拦截
文件已修改
文件已修改
本节列出了该系列样本创建、修改、移动和/或删除的文件。文件系统活动可以帮助我们深入了解恶意软件在操作系统上的运行方式。| 文件 | 属性 |
|---|---|
| c:\users\user\appdata\local\temp\fef9911719eb63fccd2b178d38d40ec33e7373c5_0001339095.bak | Synchronize,Write Data |
| c:\users\user\downloads\fef9911719eb63fccd2b178d38d40ec33e7373c5_0001339095 | Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144 |
| c:\users\user\downloads\fef9911719eb63fccd2b178d38d40ec33e7373c5_0001339095 | Generic Write,Read Attributes |
注册表修改
注册表修改
本节列出了此系列样本创建、修改和/或删除的注册表项和值。Windows 注册表活动可以提供关于恶意软件功能的宝贵信息。此外，恶意软件通常会创建注册表值，以便在初始感染系统后自动启动并无限期地持续存在。| 键::值 | 数据 | API名称 |
|---|---|---|
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\cmd.exe | 駳撯㺃ǝ | RegNtPreCreateKey |
Windows API 使用情况
Windows API 使用情况
本节列出了此系列样本使用的 Windows API 调用。Windows API 使用情况分析是一项宝贵的工具，可以帮助识别恶意活动，例如键盘记录、安全权限提升、数据加密、数据泄露、干扰防病毒软件以及网络请求篡改。| 类别 | API |
|---|---|
| Syscall Use |
Show 34 more
|
| Process Manipulation Evasion |
|