PUP.ProcessHacker.A

PUP.ProcessHacker.A — это название, используемое для обнаружения потенциально нежелательной программы (PUP), основанной на легитимной утилите Process Hacker с открытым исходным кодом или замаскированной под неё. Хотя оригинальный инструмент является легитимным приложением для мониторинга системы, данное обнаружение выявляет случаи, когда программа распространяется, распространяется в комплекте или используется таким образом, что может представлять опасность для пользователей, или когда её расширенные возможности на системном уровне используются другим нежелательным или вредоносным программным обеспечением без полного понимания или согласия пользователя.

Что делает PUP.ProcessHacker.A?

Данное обнаружение относится к 64-битному исполняемому файлу Windows, который функционирует как утилита управления системными процессами и памятью. Инструменты этой категории обычно предоставляют возможность просмотра и управления запущенными процессами, проверки служб и глубокого взаимодействия с операционной системой Windows. Судя по наблюдаемым техническим характеристикам, эта программа может записывать в файлы, открывать и запрашивать ключи реестра, взаимодействовать с диспетчером служб Windows, а также выделять, отображать или освобождать разделы памяти внутри других процессов.

Эти возможности сами по себе не являются вредоносными — это те же самые функции, которые используются легитимными диагностическими и административными инструментами. Однако, будучи включенными в состав рекламного ПО, нежелательных расширений для браузера или других установщиков потенциально нежелательных программ, этот тип утилиты может быть перепрофилирован для вмешательства в работу программного обеспечения безопасности, завершения защитных процессов или манипулирования другими запущенными приложениями в системе. Наличие проверок на отладку и использование низкоуровневых системных вызовов говорит о том, что программа разработана для работы в скрытном режиме и устойчивости к анализу, что является распространенной чертой потенциально нежелательных программ, стремящихся избежать легкого удаления или обнаружения.

Как это обычно попадает на компьютеры

Как и большинство потенциально нежелательных программ, PUP.ProcessHacker.A обычно не распространяется путем прямой, преднамеренной загрузки. Вместо этого она часто распространяется в комплекте с бесплатным программным обеспечением, загружаемым со сторонних веб-сайтов, порталов загрузки программного обеспечения или пиринговых сетей обмена файлами. Пользователи могут случайно установить её, торопясь при прохождении мастеров установки программного обеспечения, нажимая «Далее», не проверив дополнительные модули, или загружая взломанные или перепакованные установщики, которые незаметно включают дополнительные нежелательные программы вместе с желаемым приложением.

Риски для пользователя

Несмотря на низкий уровень опасности, этот тип потенциально нежелательных программ (PUP) всё же может представлять риски. Поскольку он способен взаимодействовать с памятью других процессов и запрашивать конфиденциальную информацию реестра, его потенциально можно использовать для вмешательства в нормальную работу средств защиты или другого программного обеспечения. Пользователи также могут столкнуться с нежелательными изменениями в поведении системы, снижением производительности или заражением другим нежелательным программным обеспечением, если эта программа является частью более крупного дистрибутивного пакета.

Признаки инфекции

Пользователи могут заметить работающую в фоновом режиме незнакомую системную утилиту, которую они не устанавливали намеренно, неожиданные записи в списке установленных программ или необычную активность системных процессов и служб. В некоторых случаях программное обеспечение безопасности может пометить файл во время планового сканирования без каких-либо других очевидных симптомов.

Как обеспечить свою безопасность

Чтобы избежать подобных потенциально нежелательных программ, всегда загружайте программное обеспечение непосредственно с официальных сайтов поставщиков, а не со сторонних агрегаторов. Во время установки выбирайте параметры «Пользовательская» или «Расширенная» установка, чтобы можно было просмотреть и отклонить любые дополнительные компоненты. Поддерживайте свою операционную систему и программное обеспечение безопасности в актуальном состоянии и регулярно проводите сканирование системы. Если эта программа обнаружена в вашей системе, просмотрите недавно установленные программы и удалите все незнакомые или нежелательные.

Аналитический отчет

Главная Информация

Фамилия:	PUP.ProcessHacker.A
Статус подписи:	No Signature

Известные образцы

i

Известные образцы

В этом разделе перечислены другие образцы файлов, предположительно связанные с этой семьей.

MD5: 87c9a93a9edb976b71eaa1d9603b896e ША1: 906050ef2c87db0ec9a9b96032ac9d4231f8992f SHA256: 2B8D618874534A9BFEA8E79C910C7EE6BA023945F3FCC6FE4C91AF71A244859A Размер файла: 1.78 MB, 1778208 байт

Атрибуты исполняемого файла Windows Portable

i

Атрибуты исполняемого файла Windows Portable

В этом разделе перечислены атрибуты файлов, обнаруженные в образцах семейства. Эти атрибуты извлекаются из спецификации исполняемых файлов Windows PE (Portable Executable) и различных системных флагов. Атрибуты исполняемых файлов позволяют исследователям вредоносного ПО получить представление о функциональности файла, деталях исполняемого файла, платформе и среде выполнения.

• File doesn't have "Rich" header
• File has exports table
• File is 64-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Значки файлов

i

Значки файлов

В этом разделе отображаются значки, найденные в образцах вредоносных программ. Вредоносные программы часто копируют значки, обычно ассоциируемые с легитимным программным обеспечением, чтобы ввести пользователей в заблуждение и заставить их поверить в безопасность вредоносной программы.

Информация о версии Windows PE

i

Информация о версии Windows PE

В этом разделе отображаются значения и атрибуты, установленные в структуре данных информации о версии файла Windows для образцов этого семейства. Чтобы ввести пользователей в заблуждение, злоумышленники часто добавляют поддельную информацию о версии, имитирующую легитимное программное обеспечение.

имя	Ценность
File Version	2.39.0.124
Legal Copyright	Licensed under the GNU GPL, v3.
Original Filename	⸠exe
Product Name	⸠ Hacker
Product Version	2.39.0.124

Характеристики файла

• ntdll
• WriteProcessMemory
• x64

Информация о блоке

i

Информация о блоке

В процессе анализа EnigmaSoft разбивает образцы файлов на логические блоки для классификации и сравнения с другими образцами. Блоки могут использоваться для генерации правил обнаружения вредоносного ПО и для группировки образцов файлов в семейства на основе общего исходного кода, функциональности и других отличительных атрибутов и характеристик. В этом разделе приводится сводная информация о данных этих блоков, а также их классификация, выполненная EnigmaSoft. При наличии также отображается визуальное представление данных блоков.

Всего блоков:	4,864
Потенциально вредоносные блоки:	3,100
Блоки, внесенные в белый список:	1,764
Неизвестные блоки:	0

Визуальная карта

... Данные усечены

0 - Вероятный безопасный блок
? - Неизвестный блок
x - Потенциально вредоносная блокировка

Похожие семьи

i

Похожие семьи

В этом разделе перечислены другие семейства вредоносных программ, имеющие сходства с данным семейством, на основе анализа EnigmaSoft. Многие семейства вредоносных программ создаются с использованием одних и тех же наборов инструментов и применяют одни и те же методы упаковки и шифрования, но обладают уникальными расширенными функциональными возможностями. Схожие семейства могут также иметь общий исходный код, атрибуты, значки, субкомпоненты, скомпрометированные и/или недействительные цифровые подписи и сетевые характеристики. Исследователи используют эти сходства для быстрой и эффективной сортировки образцов файлов и расширения правил обнаружения вредоносных программ.

• ProcessHacker.A

Файлы изменены

i

Файлы изменены

В этом разделе перечислены файлы, созданные, измененные, перемещенные и/или удаленные образцами из этого семейства. Активность файловой системы может дать ценную информацию о том, как вредоносное ПО функционирует в операционной системе.

Файл	Атрибуты
c:\users\user\downloads\temp\shsandbox-x64.dll-5.23.1.9999-x64.dmp	Generic Read,Write Data,Write Attributes,Write extended,Append data

Использование API Windows

i

Использование API Windows

В этом разделе перечислены вызовы API Windows, используемые примерами из этого семейства. Анализ использования API Windows — это ценный инструмент, который может помочь выявить вредоносную активность, такую как перехват нажатий клавиш, повышение привилегий в системе безопасности, шифрование данных, утечка данных, вмешательство в работу антивирусного программного обеспечения и манипулирование сетевыми запросами.

Категория	API
Syscall Use	ntdll.dll!NtAddAtomEx ntdll.dll!NtAdjustPrivilegesToken ntdll.dll!NtAlpcSendWaitReceivePort ntdll.dll!NtClose ntdll.dll!NtConnectPort ntdll.dll!NtCreateKeyedEvent ntdll.dll!NtCreateSection ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtMapViewOfSection ntdll.dll!NtOpenFile Show 28 more ntdll.dll!NtOpenKey ntdll.dll!NtOpenKeyEx ntdll.dll!NtOpenProcessToken ntdll.dll!NtProtectVirtualMemory ntdll.dll!NtQueryAttributesFile ntdll.dll!NtQueryInformationFile ntdll.dll!NtQueryInformationProcess ntdll.dll!NtQueryInformationToken ntdll.dll!NtQueryKey ntdll.dll!NtQueryLicenseValue ntdll.dll!NtQuerySecurityAttributesToken ntdll.dll!NtQueryValueKey ntdll.dll!NtQueryVirtualMemory ntdll.dll!NtQueryVolumeInformationFile ntdll.dll!NtReadRequestData ntdll.dll!NtReleaseWorkerFactoryWorker ntdll.dll!NtRequestWaitReplyPort ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationProcess ntdll.dll!NtSetInformationVirtualMemory ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtTestAlert ntdll.dll!NtTraceControl ntdll.dll!NtUnmapViewOfSection ntdll.dll!NtWaitForWorkViaWorkerFactory ntdll.dll!NtWaitLowEventPair ntdll.dll!NtWriteFile UNKNOWN
Anti Debug	IsDebuggerPresent
User Data Access	GetUserObjectInformation
Service Control	OpenSCManager OpenService