PUP.MSIL.Gamehack.ZE
威胁评分卡
EnigmaSoft 威胁记分卡
EnigmaSoft 威胁记分卡是针对不同恶意软件威胁的评估报告，由我们的研究团队收集和分析。 EnigmaSoft 威胁记分卡使用多个指标对威胁进行评估和排名，包括现实世界和潜在风险因素、趋势、频率、普遍性和持续性。 EnigmaSoft 威胁记分卡会根据我们的研究数据和指标定期更新，对广泛的计算机用户有用，从寻求解决方案以从系统中删除恶意软件的最终用户到分析威胁的安全专家。
EnigmaSoft 威胁记分卡显示各种有用的信息，包括：
流行度排名： EnigmaSoft威胁数据库中特定威胁的排名。
严重性级别：根据我们的风险建模过程和研究，确定的对象的严重性级别，以数字形式表示，如我们的威胁评估标准中所述。
受感染计算机： SpyHunter 报告的在受感染计算机上检测到的特定威胁的确认和疑似案例数量。
另请参阅威胁评估标准。
| 威胁级别： | 10 % (普通的) |
| 初见： | July 2, 2024 |
| 受影响的操作系统： | Windows |
PUP.MSIL.Gamehack.ZE是一个检测名称，用于识别针对 Windows 系统的潜在有害程序 (PUP)。与传统恶意软件不同，这类程序并非总是恶意安装或在未经用户交互的情况下安装，但它仍然会带来大多数用户不愿接受的行为和风险。在本例中，该检测结果与一个伪装成游戏启动器的文件相关，该文件名为“Valiant Cabal Launcher”，并与一款大型多人在线角色扮演游戏 (MMORPG) 应用程序相关联。
目录
PUP.MSIL.Gamehack.ZE 的作用
该程序使用 .NET 框架构建，并打包为 32 位 Windows 可执行文件。虽然它并非传统意义上的打包程序（即其代码未经过压缩或混淆处理以隐藏内容），但分析表明它使用了加密例程，包括 Rijndael 算法，这些算法可用于保护或隐藏程序中的某些数据或功能。此外，它还包含能够检查调试器是否存在以及查询系统信息的代码，这两种技术常见于旨在避免被安全研究人员分析或检测的软件中。另外，该程序还能够调整令牌权限（一种可用于获取系统提升权限的技术），并访问用户相关数据，例如区域设置和用户对象信息。
虽然游戏启动器的文件描述和产品名称听起来合法，可能会使该程序看起来无害，但上述行为与“游戏破解”风格的 PUP（潜在有害程序）一致——这类程序通常声称可以修改或增强游戏功能，但实际上可能会在系统中引入不必要的或危险的行为。
它通常是如何进入电脑的
这类程序通常是用户为了寻求游戏修改器、作弊器、辅助工具或非官方游戏启动器而下载的。它们也可能与其他免费软件捆绑在一起，从非官方或第三方网站下载，或通过缺乏严格审核的论坛和文件共享平台传播。很多情况下，用户在安装这些程序时并未完全意识到系统会被添加哪些内容，这通常是因为捆绑或安装过程不够清晰。
用户面临的风险
尽管此检测结果的危险等级较低，但这并不意味着它完全没有风险。此类程序可能使用反调试和系统检查技术，这可能表明其试图在不被发现或分析的情况下运行。加密例程与权限调整功能的结合使用可能表明该程序旨在执行超出简单游戏启动器所需的操作。通常，即使此特定样本的全部行为尚未完全记录，潜在有害程序 (PUP) 也可能导致一些不良副作用，例如浏览器设置意外更改、显示广告或安装其他不需要的组件。
感染迹象
用户可能会注意到系统中出现一个与游戏相关的可执行文件，例如大型多人在线角色扮演游戏（MMORPG）的启动器，但他们却不记得自己安装过该文件。其他此类典型迹象包括系统运行速度异常变慢、后台运行着陌生的进程，或者出现与提升权限相关的异常权限提示。
如何做好防护
为了降低遇到此类潜在有害程序 (PUP) 的风险，用户应避免从非官方或未经核实的来源下载游戏修改器、作弊器或启动器。务必仔细阅读安装提示，尤其是在安装免费软件时，以免误装捆绑的额外程序。保持杀毒软件或反恶意软件的更新，并定期进行系统扫描，也有助于在有害程序造成进一步问题之前将其检测并清除。
分析报告
一般信息
| 姓： | PUP.MSIL.Gamehack.ZE |
|---|---|
| 签名状态： | No Signature |
已知样本
已知样本
本节列出了其他据信与该家族有关的文件样本。|
MD5:
c330aa919cee5113c58618e3d8ab895e
SHA1:
7b97fd5f5681ef63d93c769515ec3b2b4235274a
SHA256:
C6E3AA5E5F2F2F3F159DA55700AB6C35D8493DC538849F7262643E3998937B59
文件大小:
60.93 KB,60928字节
|
Windows 可移植可执行文件属性
- File doesn't have "Rich" header
- File doesn't have exports table
- File doesn't have security information
- File is .NET application
- File is 32-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
文件图标
文件图标
本部分展示了在恶意软件家族样本中找到的图标资源。恶意软件通常会复制与合法软件相关的图标，以误导用户，使其误以为该恶意软件是安全的。
Windows PE 版本信息
Windows PE 版本信息
本节显示此系列样本的 Windows 文件版本信息数据结构中已设置的值和属性。为了误导用户，恶意软件攻击者通常会添加伪造的版本信息，模仿合法软件。| 姓名 | 价值 |
|---|---|
| Assembly Version | 1.0.0.1 |
| Comments | Valiant Cabal Launcher |
| Company Name | MMORPG Valiant |
| File Description | Valiant Cabal Launcher |
| File Version | 1.0.0.1 |
| Internal Name | cabal.exe |
| Legal Copyright | Copyright © MMORPG Valiant Cabal 2026 |
| Legal Trademarks | www.cabal-valiant.com |
| Original Filename | cabal.exe |
| Product Name | Valiant Cabal Launcher |
| Product Version | 1.0.0.1 |
文件特征
- .NET
- HighEntropy
- RijndaelManaged
- x86
区块信息
区块信息
在分析过程中，EnigmaSoft 会将文件样本分解成逻辑块，以便进行分类并与其他样本进行比较。这些逻辑块可用于生成恶意软件检测规则，并根据共享的源代码、功能以及其他显著属性和特征将文件样本分组到不同的家族中。本节概述了这些逻辑块数据及其 EnigmaSoft 分类结果。如果可用，还会显示逻辑块数据的可视化表示。| 总区块数： | 69 |
|---|---|
| 潜在恶意块： | 24 |
| 白名单区块： | 43 |
| 未知区块： | 2 |
可视化地图
? - 未知区块
x - 潜在恶意拦截
相似家庭
相似家庭
本节根据 EnigmaSoft 的分析，列出了与此恶意软件家族具有相似性的其他家族。许多恶意软件家族都基于相同的恶意软件工具包创建，并使用相同的打包和加密技术，但各自扩展了独特的功能。相似的家族可能共享源代码、属性、图标、子组件、受损和/或无效的数字签名以及网络特征。研究人员利用这些相似性来快速有效地对文件样本进行分类，并扩展恶意软件检测规则。- MSIL.Androm.B
- MSIL.Androm.D
- MSIL.Androm.DB
- MSIL.Gamehack.ZE
- MSIL.Gametool.B
Windows API 使用情况
Windows API 使用情况
本节列出了此系列样本使用的 Windows API 调用。Windows API 使用情况分析是一项宝贵的工具，可以帮助识别恶意活动，例如键盘记录、安全权限提升、数据加密、数据泄露、干扰防病毒软件以及网络请求篡改。| 类别 | API |
|---|---|
| User Data Access |
|
| Encryption Used |
|
| Anti Debug |
|
| Other Suspicious |
|