威胁数据库 可能不需要的程序 PUP.Gametool.J

PUP.Gametool.J

通过CagedTech在 可能不需要的程序
发布时间：
翻译为：

威胁评分卡

威胁级别： 10 % (普通的)
受感染的计算机： 23
初见： November 14, 2022
最后一次露面： October 11, 2026
受影响的操作系统： Windows

PUP.Gametool.J是一款针对 Windows 计算机的潜在有害程序 (PUP)。它通常与游戏启动器或自动更新工具相关联。虽然它并未被列为高度危险程序，但它的存在仍然会对用户的系统造成干扰和不便。安全研究人员自 2022 年底以来一直在追踪此检测名称，并且它仍然定期出现在扫描结果中，表明它仍在活跃传播。

PUP.Gametool.J 的作用

PUP.Gametool.J 伪装成合法的实用程序，通常作为自动更新或启动器组件与游戏客户端捆绑在一起。安装后，它会在后台静默运行，执行更新或维护之类的任务，但并不总是明确说明其正在做什么或为什么这样做。与许多潜在有害程序 (PUP) 一样，它可能捆绑了用户从未明确同意安装的其他软件组件，并且会表现出此类程序的典型行为，例如在启动时自动运行、通过网络通信或在未经用户明确交互的情况下启动其他进程。此类工具经常使用与进程处理相关的系统功能，这有时会使普通用户难以识别或手动删除它们。

它是如何进入电脑的

与典型的潜在有害程序 (PUP) 一样，PUP.Gametool.J 通常并非通过用户直接下载恶意软件而来。相反，它往往与其他软件安装程序捆绑在一起，尤其是一些与游戏工具、启动器或自动更新实用程序相关的安装程序。用户可能在从非官方网站或第三方网站、P2P 网络或包含额外预选组件的捆绑安装包下载软件后遇到它。由于捆绑软件的安装界面通常会将可选插件隐藏在“自定义”或“高级”设置选项中，许多用户最终会在不知情的情况下安装这些程序。

用户面临的风险

PUP.Gametool.J 的危险等级在典型的风险等级评定中较低，与勒索软件或间谍软件等高风险恶意软件相比，它并不被视为严重威胁。然而，PUP（潜在有害程序）通常仍然会带来实际的担忧。这些担忧可能包括：占用系统资源的后台进程、异常的网络活动、未经用户明确同意而改变系统行为，以及安装其他不需要的组件。由于该文件缺少数字签名，验证其合法性更加困难，这使得其来源和预期用途更加难以确定。

感染迹象

用户可能会注意到后台运行着一些他们不记得安装过的程序，这些程序通常与游戏更新或启动器功能有关。其他此类迹象还包括任务管理器中出现意外进程、启动程序中出现陌生条目、后台网络活动增加，或者系统文件夹中出现相关文件和痕迹，但无法解释原因。

如何做好防护

为了降低遇到 PUP.Gametool.J 等程序的风险，请仅从官方或可信来源下载软件，并避免使用重新打包安装程序的第三方下载网站。务必选择“自定义”或“高级”安装选项，以便在安装前查看并取消选择任何捆绑组件。保持操作系统和安全软件的更新，并定期检查已安装的程序和启动项，以发现任何异常。使用信誉良好的安全软件定期进行系统扫描也有助于检测和删除不需要的程序，防止它们造成进一步的问题。

分析报告

一般信息

姓： PUP.Gametool.J
签名状态： No Signature

已知样本

MD5: fa7bbfa1ff157a0bf9b27058c83e0bb8
SHA1: a7be2076fd77ee3bbe83c625a850729eab7e14b6
SHA256: D8CE8634D4F8467F25F4E4D4DE58CA828AE4A979A7A3D1D5C030E6A2C3A5E400
文件大小: 1.88 MB,1877504字节

Windows 可移植可执行文件属性

  • File doesn't have "Rich" header
  • File doesn't have exports table
  • File doesn't have security information
  • File is .NET application
  • File is 32-bit executable
  • File is either console or GUI application
  • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
  • File is not packed
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

文件图标

Windows PE 版本信息

姓名 价值
Assembly Version 1.0.0.0
Comments Võ Lâm Truyền Kỳ - Auto Update Launcher
Company Name JX Tinh Thien Ha
File Description Autoupdate
File Version 1.0.0.0
Internal Name Autoupdate.exe
Legal Copyright Copyright © 2021
Original Filename Autoupdate.exe
Product Name Autoupdate
Product Version 1.0.0.0

文件特征

  • .NET
  • HighEntropy
  • x86

区块信息

总区块数： 166
潜在恶意块： 19
白名单区块： 106
未知区块： 41

可视化地图

0 0 0 0 ? ? ? x ? x x ? ? ? ? ? 0 0 0 0 0 0 0 0 ? 0 0 ? ? ? 0 0 0 ? ? ? ? ? 0 ? ? ? ? ? ? ? 0 x x 0 0 x 0 0 ? 0 0 ? ? ? ? ? 0 ? 0 x ? 0 x x x ? 0 x x x 0 ? x x x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x x x ? ? ? ? ? 0 ?
0 - 可能的保险箱
? - 未知区块
x - 潜在恶意拦截

文件已修改

文件 属性
\device\namedpipe\gmdasllogger Generic Write,Read Attributes
c:\windows\appcompat\programs\amcache.hve Read Data,Read Control,Write Data
c:\windows\appcompat\programs\amcache.hve Write Attributes

注册表修改

键::值 数据 API名称
HKLM\system\software\microsoft\tip\aggregateresults::data 隞̃蘁耀꧌- RegNtPreCreateKey

Windows API 使用情况

类别 API
Syscall Use
  • ntdll.dll!NtAccessCheck
  • ntdll.dll!NtAdjustPrivilegesToken
  • ntdll.dll!NtAlertThreadByThreadId
  • ntdll.dll!NtAlpcConnectPort
  • ntdll.dll!NtAlpcSendWaitReceivePort
  • ntdll.dll!NtApphelpCacheControl
  • ntdll.dll!NtAssociateWaitCompletionPacket
  • ntdll.dll!NtClearEvent
  • ntdll.dll!NtClose
  • ntdll.dll!NtConnectPort
显示更多
  • ntdll.dll!NtCreateEvent
  • ntdll.dll!NtCreateIoCompletion
  • ntdll.dll!NtCreateKey
  • ntdll.dll!NtCreateMutant
  • ntdll.dll!NtCreateSection
  • ntdll.dll!NtCreateSemaphore
  • ntdll.dll!NtCreateTimer2
  • ntdll.dll!NtCreateWaitCompletionPacket
  • ntdll.dll!NtCreateWorkerFactory
  • ntdll.dll!NtDelayExecution
  • ntdll.dll!NtDeleteValueKey
  • ntdll.dll!NtDeviceIoControlFile
  • ntdll.dll!NtDuplicateObject
  • ntdll.dll!NtDuplicateToken
  • ntdll.dll!NtEnumerateKey
  • ntdll.dll!NtEnumerateValueKey
  • ntdll.dll!NtFreeVirtualMemory
  • ntdll.dll!NtFsControlFile
  • ntdll.dll!NtLoadKeyEx
  • ntdll.dll!NtMapViewOfSection
  • ntdll.dll!NtNotifyChangeKey
  • ntdll.dll!NtOpenDirectoryObject
  • ntdll.dll!NtOpenEvent
  • ntdll.dll!NtOpenFile
  • ntdll.dll!NtOpenKey
  • ntdll.dll!NtOpenKeyEx
  • ntdll.dll!NtOpenProcessToken
  • ntdll.dll!NtOpenProcessTokenEx
  • ntdll.dll!NtOpenSection
  • ntdll.dll!NtOpenSemaphore
  • ntdll.dll!NtOpenSymbolicLinkObject
  • ntdll.dll!NtOpenThread
  • ntdll.dll!NtOpenThreadToken
  • ntdll.dll!NtOpenThreadTokenEx
  • ntdll.dll!NtProtectVirtualMemory
  • ntdll.dll!NtQueryAttributesFile
  • ntdll.dll!NtQueryDefaultLocale
  • ntdll.dll!NtQueryDirectoryFileEx
  • ntdll.dll!NtQueryInformationFile
  • ntdll.dll!NtQueryInformationProcess
  • ntdll.dll!NtQueryInformationThread
  • ntdll.dll!NtQueryInformationToken
  • ntdll.dll!NtQueryKey
  • ntdll.dll!NtQueryLicenseValue
  • ntdll.dll!NtQueryPerformanceCounter
  • ntdll.dll!NtQuerySecurityAttributesToken
  • ntdll.dll!NtQuerySecurityObject
  • ntdll.dll!NtQuerySymbolicLinkObject
  • ntdll.dll!NtQuerySystemInformation
  • ntdll.dll!NtQuerySystemInformationEx
  • ntdll.dll!NtQueryValueKey
  • ntdll.dll!NtQueryVirtualMemory
  • ntdll.dll!NtQueryVolumeInformationFile
  • ntdll.dll!NtQueryWnfStateData
  • ntdll.dll!NtReadRequestData
  • ntdll.dll!NtReadVirtualMemory
  • ntdll.dll!NtReleaseMutant
  • ntdll.dll!NtReleaseSemaphore
  • ntdll.dll!NtReleaseWorkerFactoryWorker
  • ntdll.dll!NtRequestWaitReplyPort
  • ntdll.dll!NtSetEvent
  • ntdll.dll!NtSetInformationKey
  • ntdll.dll!NtSetInformationProcess
  • ntdll.dll!NtSetInformationThread
  • ntdll.dll!NtSetInformationVirtualMemory
  • ntdll.dll!NtSetInformationWorkerFactory
  • ntdll.dll!NtSubscribeWnfStateChange
  • ntdll.dll!NtTestAlert
  • ntdll.dll!NtTraceControl
  • ntdll.dll!NtTraceEvent
  • ntdll.dll!NtUnmapViewOfSection
  • ntdll.dll!NtUnmapViewOfSectionEx
  • ntdll.dll!NtWaitForAlertByThreadId
  • ntdll.dll!NtWaitForSingleObject
  • ntdll.dll!NtWaitForWorkViaWorkerFactory
  • ntdll.dll!NtWaitLowEventPair
  • ntdll.dll!NtWorkerFactoryWorkerReady
  • ntdll.dll!NtWriteFile
  • UNKNOWN
User Data Access
  • GetUserObjectInformation
Anti Debug
  • IsDebuggerPresent
Other Suspicious
  • AdjustTokenPrivileges
Process Manipulation Evasion
  • NtUnmapViewOfSection
  • ReadProcessMemory
Process Shell Execute
  • CreateProcess
Encryption Used
  • BCryptOpenAlgorithmProvider

Shell命令执行

C:\Windows\Microsoft.NET\Framework64\v2.0.50727\\dw20.exe dw20.exe -x -s 896