威胁数据库 可能不需要的程序 PUP.Gamehack.DJA

PUP.Gamehack.DJA

通过CagedTech在 可能不需要的程序
发布时间：
翻译为：

威胁评分卡

人气排名： 976
威胁级别： 10 % (普通的)
受感染的计算机： 218,074
初见： November 18, 2022
最后一次露面： October 13, 2026
受影响的操作系统： Windows

PUP.Gamehack.DJA是一个检测名称，用于标记一个潜在有害程序 (PUP)。该程序被发现与合法的 Windows 软件安装程序捆绑在一起或伪装成合法的安装程序。虽然它不属于高度危险程序，但由于它可能在用户不知情或未经明确同意的情况下安装，并且可能带来影响用户体验的额外行为，因此其存在于系统中仍然被认为是有害的。

PUP.Gamehack.DJA 的作用

与大多数潜在有害程序 (PUP) 一样，PUP.Gamehack.DJA 通常与其他软件包捆绑在一起，经常与实用程序或其他可下载程序的安装程序捆绑在一起。一旦进入系统，此类 PUP 通常会表现出一些行为，例如安装不需要的浏览器工具栏、显示侵入式广告，或在未经用户明确授权的情况下修改浏览器设置，例如默认搜索引擎或主页。分析表明，它利用了进程创建功能和与进程操控相关的技术，这对于在安装过程中解包并执行额外组件的安装程序包来说很常见。此外，还观察到它会引用键盘状态和用户对象信息，这些功能在合法软件中也存在，但也可能表明捆绑或重新打包的安装程序具有更广泛的监控功能。

它通常是如何进入电脑的

这类潜在有害程序（PUP）通常并非用户有意安装。它们通常通过软件捆绑传播，用户原本只想安装某个特定程序，却在安装过程中无意间同意安装其他无关软件。这种情况经常发生在用户快速点击安装向导时，他们往往忽略了自定义或高级安装选项，而这些选项原本可以让他们取消选择捆绑的额外软件。第三方下载门户网站、免费软件聚合网站和点对点文件共享网络是这类捆绑安装程序的常见来源。

用户面临的风险

PUP.Gamehack.DJA 的危险等级较低，因此不被视为像勒索软件或数据窃取恶意软件那样的严重威胁。然而，它的存在仍然会带来风险和麻烦。这些麻烦通常包括浏览器配置被意外更改、侵入式广告增多、系统或浏览器性能下降，以及在用户不知情的情况下安装其他不需要的组件。在某些情况下，PUP 还会使彻底清除不需要的软件变得更加困难，因为某些组件可能被设计成能够持久存在或重新安装。

感染迹象

受此类潜在有害程序 (PUP) 影响的用户可能会注意到一些他们不记得安装过的新工具栏或浏览器扩展程序、浏览器主页或默认搜索引擎发生意外更改、弹出式广告或赞助内容增多，以及已安装应用程序列表中出现他们不记得添加过的新程序。系统或浏览器运行速度变慢也可能是后台运行有害软件的迹象。

如何做好防护

为了降低遇到此类潜在有害程序 (PUP) 的风险，用户应仅从官方供应商网站或可信来源下载软件，而不要从第三方下载门户网站下载。安装过程中，务必尽可能选择自定义或高级安装选项，仔细检查每个步骤，并取消选择任何不需要的捆绑软件。密切关注已安装的程序和浏览器扩展程序，并删除任何不熟悉的程序，也有助于维护一个干净且受控的系统。

分析报告

一般信息

姓： PUP.Gamehack.DJA
签名状态： Self Signed

已知样本

MD5: 93cfe187305bf73a4054079538b711ec
SHA1: 0b5683663ac304755995459fdf6ef29258cc6bda
SHA256: FBF053DB5567D55D20F8D54B8930E95914FFD44073A62ED71AC9048C89D4ECB6
文件大小: 1.82 MB,1819080字节

Windows 可移植可执行文件属性

  • File doesn't have "Rich" header
  • File doesn't have debug information
  • File doesn't have exports table
  • File doesn't have relocations information
  • File has TLS information
  • File is 32-bit executable
  • File is either console or GUI application
  • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
  • File is Native application (NOT .NET application)
  • File is not packed
显示更多
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

文件图标

Windows PE 版本信息

姓名 价值
Comments This installation was built with Inno Setup.
Company Name ALCPU
File Description Core Temp Setup
File Version 1.21.0.207
Product Name Core Temp
Product Version 1.21

数字签名

签名者 根 地位
ALCPU SSL.com EV Code Signing Intermediate CA ECC R2 Self Signed

文件特征

  • big overlay
  • MZ (In Overlay)
  • x64

文件已修改

文件 属性
\device\namedpipe\gmdasllogger Generic Write,Read Attributes
c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.0.regtrans-ms Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.1.regtrans-ms Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.2.regtrans-ms Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\temp\is-7kf7p.tmp\_isetup\_setup64.tmp Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\temp\is-eo5u1.tmp\0b5683663ac304755995459fdf6ef29258cc6bda_0001819080.tmp Generic Write,Read Attributes

Windows API 使用情况

类别 API
Process Manipulation Evasion
  • NtUnmapViewOfSection
Process Shell Execute
  • CreateProcess
User Data Access
  • GetUserObjectInformation
Keyboard Access
  • GetKeyState

Shell命令执行

"C:\Users\Pyffxgfe\AppData\Local\Temp\is-EO5U1.tmp\0b5683663ac304755995459fdf6ef29258cc6bda_0001819080.tmp" /SL5="$A034A,1394059,121344,c:\users\user\downloads\0b5683663ac304755995459fdf6ef29258cc6bda_0001819080"