PUP.GameHack.GACM

PUP.GameHack.GACM è un nome di rilevamento utilizzato per identificare un Programma Potenzialmente Indesiderato (PUP) che prende di mira i computer Windows, spesso associato a strumenti che affermano di modificare, sbloccare o "hackerare" i videogiochi. Sebbene sia classificato come una minaccia a basso rischio, gli utenti che trovano questo rilevamento sul proprio sistema dovrebbero comunque prenderlo sul serio, poiché i PUP di questo tipo sono spesso inclusi in bundle con componenti aggiuntivi indesiderati e possono comportarsi in modi che compromettono la privacy, la stabilità o le prestazioni.

Cosa fa PUP.GameHack.GACM

I programmi segnalati con questo sistema di rilevamento vengono in genere distribuiti come file eseguibili che si spacciano per strumenti o utility legittimi relativi ai giochi. In alcuni casi, il file può essere camuffato con nomi o marchi simili a piattaforme di gioco note, nel tentativo di apparire affidabile ed evitare sospetti da parte degli utenti che analizzano i propri download. Invece di identificarsi apertamente come software di terze parti o non ufficiale, può presentarsi utilizzando convenzioni di denominazione generiche o mutuate da altri.

Una volta attivati, i software di questa famiglia possono interagire con i processi di sistema e la memoria, come tipico delle applicazioni che tentano di modificare il funzionamento di un gioco o di un programma. Questo tipo di comportamento, sebbene a volte utilizzato per un'automazione legittima, è anche comunemente associato ai PUP (programmi potenzialmente indesiderati) che iniettano codice indesiderato, monitorano l'attività di sistema o consentono il caricamento di componenti aggiuntivi indesiderati senza un esplicito consenso separato da parte dell'utente.

Come molti PUP (programmi potenzialmente indesiderati), GameHack.GACM potrebbe anche aprire la porta ad altri comportamenti indesiderati tipici di questa categoria di software, come la visualizzazione di annunci pubblicitari aggiuntivi, la modifica delle impostazioni del browser, l'installazione di barre degli strumenti o l'inclusione di programmi aggiuntivi non richiesti dall'utente.

Come solitamente si installa sui computer

I PUP come questo si diffondono in genere tramite programmi di installazione inclusi in bundle, siti di download di software gratuito, strumenti di modifica per giochi piratati o crackati e portali di download di terze parti. Gli utenti spesso installano questi programmi involontariamente, affrettandosi a completare le procedure di installazione e accettando le opzioni predefinite senza esaminare le offerte aggiuntive incluse. Poiché molti PUP si basano su una qualche forma di consenso dell'utente, per quanto vago o nascosto in clausole scritte in piccolo, possono essere distribuiti legalmente anche se il loro comportamento è indesiderato dalla maggior parte degli utenti.

Rischi per l’utente

Sebbene classificati a basso livello di pericolosità, i PUP (programmi potenzialmente indesiderati) di questa categoria possono comunque causare problemi reali. I rischi tipici includono una riduzione delle prestazioni del sistema, modifiche indesiderate alle impostazioni del browser o delle applicazioni, una maggiore esposizione alla pubblicità e una maggiore probabilità che vengano installati ulteriori software indesiderati insieme al programma principale. Poiché questo tipo di programma può interagire con la memoria e i processi di sistema, esiste anche la possibilità che in futuro possa essere utilizzato per diffondere componenti più dannosi, anche se il PUP originale non è particolarmente distruttivo.

Segni di infezione

Tra i segnali più comuni della possibile presenza di un PUP (programma potenzialmente indesiderato) si annoverano la comparsa inaspettata di nuovi programmi o collegamenti sul desktop, processi sconosciuti in esecuzione in background, un generale rallentamento delle prestazioni del sistema, annunci pop-up indesiderati o modifiche non autorizzate alla pagina iniziale e alle impostazioni di ricerca del browser.

Come rimanere protetti

Per ridurre il rischio di imbattersi in PUP (programmi potenzialmente indesiderati) come GameHack.GACM, gli utenti dovrebbero evitare di scaricare strumenti di modifica dei giochi, crack o "hack" da fonti non ufficiali. Quando si installa un nuovo software, è sempre consigliabile scegliere l'opzione di installazione personalizzata, in modo da poter esaminare e rifiutare eventuali componenti aggiuntivi. Inoltre, è fondamentale mantenere attiva e aggiornata una soluzione di sicurezza affidabile per bloccare i programmi indesiderati prima che vengano eseguiti. Anche la revisione periodica dei programmi installati e delle estensioni del browser può contribuire a individuare tempestivamente eventuali componenti indesiderati.

Rapporto di analisi

Informazione Generale

Cognome:	PUP.GameHack.GACM
Stato della firma:	Self Signed

Campioni noti

i

Campioni noti

Questa sezione elenca altri campioni di file che si ritiene siano associati a questa famiglia.

MD5: 204902fba59ca417bcaefa73d060cf9b SHA1: 1b94d2e9108fb8fef5703f25e65f9070ec9d3183 SHA256: 94595A464E88E2E31A8EFAB1084604B199EF95BCB67CD03781F4539F9474FE4F Dimensione del file: 911.87 KB.911872 byte

MD5: f5e3867437b1b0e2757a06a02c9028bd SHA1: 6dae04f6dd859385db6d293c74a5eccbcd20519e SHA256: 0C89B372AB57DD8C97480D22F2727D832DAF59230472A1E5520C1B61C4371BE1 Dimensione del file: 351.66 KB.351656 byte

Attributi di Windows Portable Executable

i

Attributi di Windows Portable Executable

Questa sezione elenca gli attributi dei file trovati all'interno dei campioni della famiglia. Questi attributi vengono estratti dalle specifiche Windows PE (Portable Executable) dei file e da vari flag di sistema. Gli attributi Portable Executable forniscono ai ricercatori di malware informazioni sulla funzionalità di un file, sui dettagli dell'eseguibile, sulla piattaforma e sull'ambiente di runtime.

• File doesn't have "Rich" header
• File doesn't have exports table
• File has TLS information
• File is 64-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Icone dei file

i

Icone dei file

Questa sezione mostra le risorse delle icone trovate all'interno dei campioni della famiglia. Il malware spesso replica le icone comunemente associate ai software legittimi per indurre gli utenti a credere che il malware sia sicuro.

Informazioni sulla versione di Windows PE

i

Informazioni sulla versione di Windows PE

Questa sezione mostra i valori e gli attributi impostati nella struttura dati delle informazioni sulla versione dei file di Windows per i campioni di questa famiglia. Per ingannare gli utenti, gli autori di malware spesso aggiungono informazioni di versione false che imitano software legittimi.

Nome	Valore
Company Name	GSE
File Description	GSE
File Version	1, 0, 0, 2
Internal Name	GSE
Legal Copyright	Copyright (C) 2021 GSE
Original Filename	steam.exe
Product Name	GSE
Product Version	1, 0, 0, 2
Source Control I D	8563863

Firme digitali

i

Firme digitali

Questa sezione elenca le firme digitali associate ai campioni appartenenti a questa famiglia. Durante l'analisi e la verifica delle firme digitali, è importante accertarsi che l'autorità radice della firma sia un'entità nota e affidabile e che lo stato della firma sia valido. Il malware è spesso firmato con firme digitali "autofirmate" non affidabili (che possono essere create facilmente dall'autore del malware senza alcuna verifica). Il malware può anche essere firmato con firme legittime che presentano uno stato non valido, oppure con firme provenienti da autorità radice discutibili con nomi di "firmatario" falsi o fuorvianti.

Firmatario	Radice	Stato
GSE	GSE	Self Signed

Caratteristiche dei file

• fptable
• WriteProcessMemory
• x64

Informazioni sul blocco

i

Informazioni sul blocco

Durante l'analisi, EnigmaSoft suddivide i campioni di file in blocchi logici per la classificazione e il confronto con altri campioni. I blocchi possono essere utilizzati per generare regole di rilevamento del malware e per raggruppare i campioni di file in famiglie in base al codice sorgente condiviso, alla funzionalità e ad altri attributi e caratteristiche distintive. Questa sezione elenca un riepilogo dei dati dei blocchi, nonché la loro classificazione da parte di EnigmaSoft. Viene inoltre visualizzata una rappresentazione grafica dei dati dei blocchi, ove disponibile.

Blocchi totali:	1,321
Blocchi potenzialmente dannosi:	49
Blocchi consentiti:	1,272
Blocchi sconosciuti:	0

Mappa visiva

0 - Probabile blocco di sicurezza
? - Blocco sconosciuto
x - Blocco potenzialmente dannoso

Famiglie simili

i

Famiglie simili

Questa sezione elenca altre famiglie che presentano similitudini con questa famiglia, sulla base dell'analisi di EnigmaSoft. Molte famiglie di malware sono create a partire dagli stessi toolkit e utilizzano le stesse tecniche di compressione e crittografia, ma ne estendono le funzionalità in modo univoco. Famiglie simili possono anche condividere codice sorgente, attributi, icone, sottocomponenti, firme digitali compromesse e/o non valide e caratteristiche di rete. I ricercatori sfruttano queste somiglianze per analizzare rapidamente ed efficacemente i campioni di file ed estendere le regole di rilevamento del malware.

• GameHack.GACM

Utilizzo delle API di Windows

i

Utilizzo delle API di Windows

Questa sezione elenca le chiamate API di Windows utilizzate dagli esempi di questa famiglia. L'analisi dell'utilizzo delle API di Windows è uno strumento prezioso che può aiutare a identificare attività dannose, come keylogging, escalation dei privilegi di sicurezza, crittografia dei dati, esfiltrazione di dati, interferenza con software antivirus e manipolazione delle richieste di rete.

Categoria	API
Syscall Use	ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtQuerySecurityAttributesToken ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtTestAlert ntdll.dll!NtWriteFile UNKNOWN