База данных угроз Потенциально нежелательные программы PUP.Ypack.H

PUP.Ypack.H

К CagedTech году в Потенциально нежелательные программы году
Опубликовано:
Последнее обновление:
Перевести на:

Карта показателей угрозы

Рейтинг популярности: 2,558
Уровень угрозы: 10 % (Обычный)
Зараженные компьютеры: 69
Первый раз: August 21, 2026
Последний визит: October 15, 2026
ОС(а) Затронутые: Windows

PUP.Ypack.H — это идентификатор потенциально нежелательной программы (PUP), устанавливаемой в системы Windows, часто без ведома пользователя. Хотя она не классифицируется как крайне опасная, она относится к категории программного обеспечения, которое может изменять настройки браузера, распространять нежелательный контент и в целом делать использование компьютера менее приятным и менее безопасным. Этот идентификатор был обнаружен у файла, который внутренне идентифицирует себя как "ЯндексПин", хотя наличие такого имени не означает, что каждый файл, помеченный таким образом, происходит из официального или заслуживающего доверия источника.

Что делает Ypack.H

После активации в системе программы этого семейства обычно нацелены на манипулирование процессом веб-серфинга пользователя. В данном случае обнаруженный образец создан для автоматического открытия определенных веб-страниц, перенаправляя браузер на заранее определенный адрес с помощью команд, запускающих браузер по умолчанию и загружающих определенный URL-адрес. Такое поведение обычно используется для привлечения трафика на определенные веб-сайты, продвижения в поисковых системах или получения дохода от рекламы для распространителя программы, а не для предоставления какой-либо реальной пользы пользователю.

Технически, программа представляет собой нативное 32-битное приложение для Windows, не упакованное в архив, то есть его код не сильно обфусцирован. Однако она использует некоторые системные функции, связанные с манипулированием памятью и обработкой процессов, которые иногда используются программным обеспечением для изменения работы процессов или для незаметного запуска других приложений в фоновом режиме. Цепочка цифровых подписей файла указывает на корневой сертификат, которому не доверяют, что является серьезным тревожным сигналом — легитимное, заслуживающее доверия программное обеспечение обычно подписывается сертификатами, которые ссылаются на доверенный корневой центр.

Как это обычно попадает на компьютеры

Потенциально нежелательные программы, такие как Ypack.H, обычно распространяются через пакеты программного обеспечения, где они включаются в качестве дополнительного, часто предварительно выбранного, компонента при установке пользователем другой, казалось бы, не связанной программы. Они также могут попадать через обманчивую рекламу, поддельные кнопки загрузки или сайты бесплатной загрузки программного обеспечения, которые упаковывают дополнительные инструменты вместе с программой, которую пользователь действительно хотел. Во многих случаях пользователи неосознанно соглашаются на установку, быстро проходя через мастера установки, не проверяя дополнительные компоненты.

Риски для пользователя

Несмотря на низкий уровень опасности, программы такого типа могут создавать реальные неудобства и незначительные проблемы с безопасностью. Типичные риски включают нежелательные изменения домашних страниц браузера или настроек поиска по умолчанию, неожиданные всплывающие окна, перенаправление веб-поиска и общее снижение производительности системы из-за фоновых процессов, работающих без видимой цели. В некоторых случаях подобное программное обеспечение также может открыть путь для дальнейших нежелательных установок или подвергнуть пользователей воздействию дополнительных рекламных сетей.

Признаки инфекции

Пользователи, затронутые этим типом потенциально нежелательных программ, могут заметить, что их браузер автоматически открывает незнакомые веб-сайты, вносятся изменения в домашнюю страницу или поисковую систему по умолчанию, которые они не вносили, появляются новые панели инструментов или расширения без объяснения причин, а также увеличивается количество всплывающих рекламных окон. Общее замедление работы браузера или системы также может быть признаком нежелательной программы, работающей в фоновом режиме.

Как обеспечить свою безопасность

Чтобы избежать нежелательных программ, таких как Ypack.H, пользователям всегда следует выбирать пользовательские или расширенные параметры установки при настройке нового программного обеспечения, внимательно проверяя каждый шаг на наличие предварительно отмеченных пунктов, предлагающих дополнительные программы. Загрузка программного обеспечения только из официальных или надежных источников, обновление операционной системы и браузеров, а также регулярная проверка установленных программ и расширений браузера также помогут выявить нежелательное ПО на ранней стадии. Периодическое сканирование системы и осторожное отношение к подозрительной рекламе или запросам на загрузку еще больше снижают вероятность распространения таких программ.

Аналитический отчет

Главная Информация

Фамилия: PUP.Ypack.H
Статус подписи: Root Not Trusted

Известные образцы

MD5: fed6fe4a78ed9f64a2d5b15616608243
ША1: f4db0db1e67c973d35a03810d5c6ec5efc76affd
SHA256: 126F66BF87CACEC6221DE23EC39FA1464EF9EBE0231382BF8D2DDF53896FB3BB
Размер файла: 408.77 KB, 408768 байт

Атрибуты исполняемого файла Windows Portable

  • File doesn't have "Rich" header
  • File doesn't have exports table
  • File is 32-bit executable
  • File is either console or GUI application
  • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
  • File is Native application (NOT .NET application)
  • File is not packed
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Значки файлов

Информация о версии Windows PE

имя Ценность
File Description YandexPin
File Version 3.7.9.0
Internal Name YandexPin
Legal Copyright Copyright (C) Yandex 2019
Original Filename YandexPin.exe
Product Name YandexPin
Product Version 3.7.9.0

Цифровые подписи

Подписавший Корень Статус
YANDEX LLC GlobalSign Code Signing Root R45 Root Not Trusted

Характеристики файла

  • x86

Информация о блоке

Всего блоков: 984
Потенциально вредоносные блоки: 114
Блоки, внесенные в белый список: 870
Неизвестные блоки: 0

Визуальная карта

0 0 x x x x x 0 x x 0 x x 0 x 0 x x x 0 x x x x x x x x x x 0 x 0 0 0 0 0 0 0 x 0 0 0 0 0 0 0 0 x 0 0 0 x x x 0 x x x x 0 x x x x 0 0 0 0 x x 0 x x 0 x x x 0 0 x x 0 0 0 0 0 0 0 0 x x 0 x x 0 0 0 0 0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x x x x x x x 0 x x 0 x 0 x x 0 0 0 0 0 0 0 0 0 0 0 x 0 x 0 x 0 0 0 0 0 0 0 0 0 x 0 0 0 0 0 0 x 0 0 0 0 0 x 0 0 x 0 0 0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x 0 x x x x 0 0 0 0 0 0 0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x 0 0 0 0 0 0 x x 0 x x x x x x 0 x x x x x 0 0 x 0 0 x x x x x x 0 x x x x 0 x x 0 0 x x x 0 x x x x x x x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 1 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 3 1 1 1 0 0 0 0 0 0 0 0 0 0 0 0 0 2 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 1 0 0 0 0 0 0 0 0 0 0 0 0 0 1 1 0 0 1 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 1 0 1 0 0 0 0 1 1 0 0 0 0 0 0 0 1 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 1 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 1 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 2 2 0 0 0 1 1 1 0 0 1 0 0 0 0
0 - Вероятный безопасный блок
? - Неизвестный блок
x - Потенциально вредоносная блокировка

Похожие семьи

  • Ypack.H

Изменения в реестре

Ключ::Значение Данные Название API
HKCU\software\microsoft\windows\currentversion\explorer::slowcontextmenuentries `$�!�:i��+00��� Gs]XM���"�2��FXD�':D��exA-��LG=�A��J� �C� RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\5.0\cache\content::cacheprefix RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\5.0\cache\cookies::cacheprefix Cookie: RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\5.0\cache\history::cacheprefix Visited: RegNtPreCreateKey
HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75 �n|8��"ajg�8 �� �v ��T��������%��Bx#��$kF&� (�(X�(�)�`*J*9*�"-!R1`1�1HO1��5,]=�@V�A��D�G�IH[uH�pK��N$N�b"hc�wg�Xh�rj�bk`k�ql(�lR p*q�Xr�BtǤvy�w�ny�9z��{b� RegNtPreCreateKey
HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75 �n�8��"ajg�8 �� �v ����T��������%��Bx#��$kF&� (�(X�(�)�`*J*9*�"-!R1`1�1HO1��5,]=�@V�A��D�G�IH[uH�pK��N$N�b"hc�wg�Xh�rj�bk`k�ql(�lR p*q�Xr�BtǤvy�w�nx�dy�9 RegNtPreCreateKey
HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75 �n�8��"ajg�8 �� �v ����T��������%��Bx#��$kF&� (�(X�(�)�`*J*9*�"-!R1`1�1HO1��5,]=�@V�A��D�G�IH[uH�pK��N$N�b"hc�wg�Xh�rj�bk`k�ql(�lR p*q�Xr�BtǤvy�w�nx�dy�9 RegNtPreCreateKey
HKCU\software\microsoft\edge\elfbeacon::version 153.0.4234.32 RegNtPreCreateKey

Использование API Windows

Категория API
Process Manipulation Evasion
  • NtUnmapViewOfSection
Process Shell Execute
  • CreateProcess
  • ShellExecute
Syscall Use
  • ntdll.dll!NtAccessCheck
  • ntdll.dll!NtAlpcSendWaitReceivePort
  • ntdll.dll!NtApphelpCacheControl
  • ntdll.dll!NtClose
  • ntdll.dll!NtCreateFile
  • ntdll.dll!NtCreateMutant
  • ntdll.dll!NtCreateSection
  • ntdll.dll!NtCreateSemaphore
  • ntdll.dll!NtDeleteValueKey
  • ntdll.dll!NtDuplicateToken
Показать больше
  • ntdll.dll!NtFreeVirtualMemory
  • ntdll.dll!NtMapViewOfSection
  • ntdll.dll!NtOpenFile
  • ntdll.dll!NtOpenKey
  • ntdll.dll!NtOpenKeyEx
  • ntdll.dll!NtOpenProcessToken
  • ntdll.dll!NtOpenProcessTokenEx
  • ntdll.dll!NtOpenSection
  • ntdll.dll!NtOpenThreadTokenEx
  • ntdll.dll!NtPowerInformation
  • ntdll.dll!NtProtectVirtualMemory
  • ntdll.dll!NtQueryAttributesFile
  • ntdll.dll!NtQueryInformationProcess
  • ntdll.dll!NtQueryInformationThread
  • ntdll.dll!NtQueryInformationToken
  • ntdll.dll!NtQueryKey
  • ntdll.dll!NtQueryLicenseValue
  • ntdll.dll!NtQueryPerformanceCounter
  • ntdll.dll!NtQuerySecurityObject
  • ntdll.dll!NtQuerySystemInformation
  • ntdll.dll!NtQuerySystemInformationEx
  • ntdll.dll!NtQueryValueKey
  • ntdll.dll!NtQueryVirtualMemory
  • ntdll.dll!NtReadRequestData
  • ntdll.dll!NtReleaseMutant
  • ntdll.dll!NtReleaseWorkerFactoryWorker
  • ntdll.dll!NtSetEvent
  • ntdll.dll!NtSetInformationVirtualMemory
  • ntdll.dll!NtSetInformationWorkerFactory
  • ntdll.dll!NtTestAlert
  • ntdll.dll!NtWaitForSingleObject
  • ntdll.dll!NtWriteFile
  • UNKNOWN

Выполнение команд оболочки

open www.ya.ru?clid=1961774-1
"C:\Program Files (x86)\Microsoft\Edge\Application\msedge.exe" --edge-skip-compat-layer-relaunch --single-argument http://www.ya.ru/?clid=1961774-1