PUP.Ypack.H
威胁评分卡
EnigmaSoft 威胁记分卡
EnigmaSoft 威胁记分卡是针对不同恶意软件威胁的评估报告，由我们的研究团队收集和分析。 EnigmaSoft 威胁记分卡使用多个指标对威胁进行评估和排名，包括现实世界和潜在风险因素、趋势、频率、普遍性和持续性。 EnigmaSoft 威胁记分卡会根据我们的研究数据和指标定期更新，对广泛的计算机用户有用，从寻求解决方案以从系统中删除恶意软件的最终用户到分析威胁的安全专家。
EnigmaSoft 威胁记分卡显示各种有用的信息，包括：
流行度排名： EnigmaSoft威胁数据库中特定威胁的排名。
严重性级别：根据我们的风险建模过程和研究，确定的对象的严重性级别，以数字形式表示，如我们的威胁评估标准中所述。
受感染计算机： SpyHunter 报告的在受感染计算机上检测到的特定威胁的确认和疑似案例数量。
另请参阅威胁评估标准。
| 人气排名： | 2,558 |
| 威胁级别： | 10 % (普通的) |
| 受感染的计算机： | 69 |
| 初见： | August 21, 2026 |
| 最后一次露面： | October 15, 2026 |
| 受影响的操作系统： | Windows |
PUP.Ypack.H是一个检测名称，用于识别安装在 Windows 系统上的潜在有害程序 (PUP)，用户通常对此毫不知情。虽然它不属于高危程序，但它属于一类可以更改浏览器设置、推送垃圾内容并降低计算机使用体验和安全性的软件。这种检测名称曾出现在一个名为“YandexPin”的文件上，但并非所有被标记为“YandexPin”的文件都来自官方或可信来源。
目录
Ypack.H 的作用
一旦在系统中激活，此类程序通常会操控用户的网页浏览体验。在本例中，检测到的样本旨在自动打开特定网页，通过启动默认浏览器并加载特定URL的命令，将浏览器重定向到预设地址。这种行为通常用于为特定网站引流、推广搜索引擎或为程序分发者创造广告收入，而非为用户提供任何实际益处。
从技术上讲，该程序是一个原生的 32 位 Windows 应用程序，并未进行压缩，这意味着其代码没有经过高度混淆。然而，它确实使用了一些与内存操作和进程管理相关的系统级函数，这些函数有时会被其他软件利用来修改进程的运行方式，或在后台静默启动其他应用程序。该文件的数字签名链指向一个不受信任的根证书，这是一个明显的危险信号——合法且可信的软件通常使用源自受信任根证书颁发机构的证书进行签名。
它通常是如何进入电脑的
像 Ypack.H 这样的潜在有害程序 (PUP) 通常通过软件捆绑传播，当用户安装其他看似无关的程序时，它们会被作为额外的、通常是预先选择的组件包含在内。它们也可能通过欺骗性广告、虚假下载按钮或免费软件下载网站传播，这些网站会将额外的工具与用户真正需要的程序捆绑在一起。在许多情况下，用户在不知情的情况下，通过快速点击安装向导而没有仔细查看可选组件，从而同意安装这些程序。
用户面临的风险
尽管这类程序被评为低风险级别，但仍可能造成实际的困扰和轻微的安全隐患。常见的风险包括浏览器主页或默认搜索设置被意外更改、弹出意外窗口、网页搜索被重定向，以及由于后台进程无故运行而导致系统性能下降。在某些情况下，这类软件还可能导致其他恶意软件的安装，或使用户暴露于其他广告网络。
感染迹象
受此类潜在有害程序 (PUP) 影响的用户可能会注意到浏览器自动打开陌生的网站，主页或默认搜索引擎被更改（而用户并未进行更改），出现新的工具栏或扩展程序，以及广告弹窗数量增加。浏览器或系统性能普遍下降也可能是后台运行有害程序的迹象。
如何做好防护
为了避免感染 Ypack.H 等潜在有害程序 (PUP)，用户在安装新软件时应始终选择自定义或高级安装选项，并仔细检查每个步骤，留意那些预先勾选的、可能包含额外程序的复选框。此外，仅从官方或信誉良好的来源下载软件、保持操作系统和浏览器更新，以及定期检查已安装的程序和浏览器扩展程序，也有助于及早发现有害软件。定期进行系统扫描，并对可疑的广告或下载提示保持警惕，可以进一步降低此类程序入侵系统的风险。
分析报告
一般信息
| 姓： | PUP.Ypack.H |
|---|---|
| 签名状态： | Root Not Trusted |
已知样本
已知样本
本节列出了其他据信与该家族有关的文件样本。|
MD5:
fed6fe4a78ed9f64a2d5b15616608243
SHA1:
f4db0db1e67c973d35a03810d5c6ec5efc76affd
SHA256:
126F66BF87CACEC6221DE23EC39FA1464EF9EBE0231382BF8D2DDF53896FB3BB
文件大小:
408.77 KB,408768字节
|
Windows 可移植可执行文件属性
- File doesn't have "Rich" header
- File doesn't have exports table
- File is 32-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
文件图标
文件图标
本部分展示了在恶意软件家族样本中找到的图标资源。恶意软件通常会复制与合法软件相关的图标，以误导用户，使其误以为该恶意软件是安全的。
Windows PE 版本信息
Windows PE 版本信息
本节显示此系列样本的 Windows 文件版本信息数据结构中已设置的值和属性。为了误导用户，恶意软件攻击者通常会添加伪造的版本信息，模仿合法软件。| 姓名 | 价值 |
|---|---|
| File Description | YandexPin |
| File Version | 3.7.9.0 |
| Internal Name | YandexPin |
| Legal Copyright | Copyright (C) Yandex 2019 |
| Original Filename | YandexPin.exe |
| Product Name | YandexPin |
| Product Version | 3.7.9.0 |
数字签名
数字签名
本节列出了该系列样本所附带的数字签名。在分析和验证数字签名时，务必确认签名的根授权机构是知名且可信的实体，并且签名状态良好。恶意软件通常使用不可信的“自签名”数字签名（恶意软件作者可以轻松创建此类签名，无需任何验证）。恶意软件也可能使用状态无效的合法签名，或者使用来自可疑根授权机构且签名者名称虚假或具有误导性的签名。| 签名者 | 根 | 地位 |
|---|---|---|
| YANDEX LLC | GlobalSign Code Signing Root R45 | Root Not Trusted |
文件特征
- x86
区块信息
区块信息
在分析过程中，EnigmaSoft 会将文件样本分解成逻辑块，以便进行分类并与其他样本进行比较。这些逻辑块可用于生成恶意软件检测规则，并根据共享的源代码、功能以及其他显著属性和特征将文件样本分组到不同的家族中。本节概述了这些逻辑块数据及其 EnigmaSoft 分类结果。如果可用，还会显示逻辑块数据的可视化表示。| 总区块数： | 984 |
|---|---|
| 潜在恶意块： | 114 |
| 白名单区块： | 870 |
| 未知区块： | 0 |
可视化地图
0
0
x
x
x
x
x
0
x
x
0
x
x
0
x
0
x
x
x
0
x
x
x
x
x
x
x
x
x
x
0
x
0
0
0
0
0
0
0
x
0
0
0
0
0
0
0
0
x
0
0
0
x
x
x
0
x
x
x
x
0
x
x
x
x
0
0
0
0
x
x
0
x
x
0
x
x
x
0
0
x
x
0
0
0
0
0
0
0
0
x
x
0
x
x
0
0
0
0
0
x
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
x
x
x
x
x
x
x
0
x
x
0
x
0
x
x
0
0
0
0
0
0
0
0
0
0
0
x
0
x
0
x
0
0
0
0
0
0
0
0
0
x
0
0
0
0
0
0
x
0
0
0
0
0
x
0
0
x
0
0
0
x
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
x
0
x
x
x
x
0
0
0
0
0
0
0
x
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
x
0
0
0
0
0
0
x
x
0
x
x
x
x
x
x
0
x
x
x
x
x
0
0
x
0
0
x
x
x
x
x
x
0
x
x
x
x
0
x
x
0
0
x
x
x
0
x
x
x
x
x
x
x
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
1
0
1
1
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
1
3
1
1
1
0
0
0
0
0
0
0
0
0
0
0
0
0
2
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
1
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
1
1
0
0
0
0
0
0
0
0
0
0
0
0
0
1
1
0
0
1
0
0
0
1
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
1
0
0
0
0
0
0
1
0
1
0
0
0
0
1
1
0
0
0
0
0
0
0
1
0
0
1
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
1
1
0
0
0
0
0
0
1
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
1
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
1
0
0
0
0
0
0
0
0
0
0
0
1
0
1
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
1
0
0
0
0
0
0
0
0
0
0
0
0
1
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
1
0
0
0
2
2
0
0
0
1
1
1
0
0
1
0
0
0
0
0 - 可能的保险箱
? - 未知区块
x - 潜在恶意拦截
? - 未知区块
x - 潜在恶意拦截
相似家庭
相似家庭
本节根据 EnigmaSoft 的分析，列出了与此恶意软件家族具有相似性的其他家族。许多恶意软件家族都基于相同的恶意软件工具包创建，并使用相同的打包和加密技术，但各自扩展了独特的功能。相似的家族可能共享源代码、属性、图标、子组件、受损和/或无效的数字签名以及网络特征。研究人员利用这些相似性来快速有效地对文件样本进行分类，并扩展恶意软件检测规则。- Ypack.H
注册表修改
注册表修改
本节列出了此系列样本创建、修改和/或删除的注册表项和值。Windows 注册表活动可以提供关于恶意软件功能的宝贵信息。此外，恶意软件通常会创建注册表值，以便在初始感染系统后自动启动并无限期地持续存在。| 键::值 | 数据 | API名称 |
|---|---|---|
| HKCU\software\microsoft\windows\currentversion\explorer::slowcontextmenuentries | `$�!�:i�� +00�� � Gs]XM��� "�2� � FX D�' :D��exA-� �LG=�A��J� �C� | RegNtPreCreateKey |
| HKCU\software\microsoft\windows\currentversion\internet settings\5.0\cache\content::cacheprefix | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\5.0\cache\cookies::cacheprefix | Cookie: | RegNtPreCreateKey |
| HKCU\software\microsoft\windows\currentversion\internet settings\5.0\cache\history::cacheprefix | Visited: | RegNtPreCreateKey |
| HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75 | �n | 8��"ajg�8 �� �v �� T��������%�� Bx #��$kF&� (�(X�(�)�`*J*9*�"-!R1`1�1HO 1��5,]=� @V� A��D�G�IH[uH�pK��N$N� b"hc�w g�Xh�rj�bk`k�ql(�lR p*q�Xr�BtǤvy�w�ny�9 z��{b� | RegNtPreCreateKey |
| HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75 | �n � 8��"ajg�8 �� �v �� �� T��������%�� Bx #��$kF&� (�(X�(�)�`*J*9*�"-!R1`1�1HO 1��5,]=� @V� A��D�G�IH[uH�pK��N$N� b"hc�w g�Xh�rj�bk`k�ql(�lR p*q�Xr�BtǤvy�w�nx�d y�9 | RegNtPreCreateKey |
| HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75 | �n � 8��"ajg�8 �� �v �� �� T��������%�� Bx #��$kF&� (�(X�(�)�`*J*9*�"-!R1`1�1HO 1��5,]=� @V� A��D�G�IH[uH�pK��N$N� b"hc�w g�Xh�rj�bk`k�ql(�lR p*q�Xr�BtǤvy�w�nx�d y�9 | RegNtPreCreateKey |
| HKCU\software\microsoft\edge\elfbeacon::version | 153.0.4234.32 | RegNtPreCreateKey |
Windows API 使用情况
Windows API 使用情况
本节列出了此系列样本使用的 Windows API 调用。Windows API 使用情况分析是一项宝贵的工具，可以帮助识别恶意活动，例如键盘记录、安全权限提升、数据加密、数据泄露、干扰防病毒软件以及网络请求篡改。| 类别 | API |
|---|---|
| Process Manipulation Evasion |
|
| Process Shell Execute |
|
| Syscall Use |
显示更多
|
Shell命令执行
Shell命令执行
本节列出了此系列样本运行的 Windows Shell 命令。恶意软件经常利用 Windows Shell 命令进行恶意活动，例如提升安全权限、下载和启动其他恶意软件、利用漏洞、收集和窃取数据以及隐藏恶意活动。
open www.ya.ru?clid=1961774-1
|
"C:\Program Files (x86)\Microsoft\Edge\Application\msedge.exe" --edge-skip-compat-layer-relaunch --single-argument http://www.ya.ru/?clid=1961774-1
|
