PUP.Gamehack.NFC 是一个检测名称，用于识别针对 Windows 计算机的潜在有害程序 (PUP)。它属于游戏破解工具这一大类，这类工具通常会被标记为有害程序，因为它们以侵入性或高风险的方式在系统中运行，而不是因为它们是像勒索软件或间谍软件那样具有直接破坏性的恶意软件。虽然其总体危险等级较低，但遇到此检测的用户仍应认真对待，并了解其功能和运行方式。
顾名思义，PUP.Gamehack.NFC 与所谓的“游戏破解”工具相关，这类工具通常宣称能够为玩家提供游戏优势，例如解锁游戏功能、修改游戏数值或绕过游戏限制。从技术角度来看，检测到的该文件是一个 64 位 Windows 图形用户界面应用程序，但未经过数字签名，这意味着它没有经过验证的发布者信息。此外，该文件还显示出高熵值，这通常表明程序的部分内容已被混淆或压缩，以增加分析难度。检测到该文件使用了 WriteProcessMemory 函数，这是一种游戏破解和内存编辑工具常用的技术，可以直接修改其他正在运行的进程（例如游戏）的内存，从而改变其行为。该文件还使用了此类工具中常见的接口库，该库通常用于构建游戏破解工具向用户显示的程序内菜单和界面。
与许多潜在有害程序 (PUP) 一样，Gamehack.NFC 类型的程序通常通过软件捆绑的方式进入用户系统，它们与其他下载内容打包在一起，这些下载内容通常是免费实用程序、破解软件或用于游戏修改和作弊的第三方安装程序。用户也可能通过专门讨论游戏作弊的网站和论坛遇到此类工具，这些网站和论坛提供的下载内容往往缺乏透明度，用户难以了解可能安装的其他组件。在许多情况下，用户只是部分同意安装，快速点击安装界面，而没有注意到其他捆绑组件。
此类潜在有害程序 (PUP) 带来的风险通常包括对系统造成不必要的更改，以及暴露于其他有害或危险软件的风险。由于检测到的文件会直接操控其他运行进程的内存，因此可能会干扰游戏或其他软件的稳定性，导致崩溃或出现异常行为。此类程序通常还会伴有其他 PUP 行为，例如捆绑广告软件、恶意更改浏览器设置，或在未经用户明确同意的情况下安装其他有害应用程序。
系统可能安装了此类程序的迹象包括：意外出现不熟悉的作弊或游戏破解程序、在玩游戏时出现异常的覆盖菜单、游戏或系统性能发生无法解释的变化，或者发现其他并非有意安装的未知程序。
为了保护自身安全，用户应避免从非官方或不可信来源下载游戏破解程序、作弊程序或修改工具，并在软件安装过程中格外谨慎，拒绝任何不必要的捆绑安装。保持安全软件更新并定期进行系统扫描有助于检测并清除像 Gamehack.NFC 这样的潜在有害程序 (PUP)，避免造成进一步的问题。
姓：
PUP.Gamehack.NFC
签名状态：
No Signature
i
已知样本
本节列出了其他据信与该家族有关的文件样本。
MD5:
0aca018b3f956c322a14e4a08c9dbce8
SHA1:
763ec07cb86daee474233fd63d8460aecd22212c
SHA256:
A8CFC3491983AA060260B0B62C7790C0550057C7BEA5B00964F7BA3D92713805
文件大小:
8.10 MB,8097792字节
i
Windows 可移植可执行文件属性
本节列出了在恶意软件家族样本中发现的文件属性。这些属性提取自文件的 Windows PE（可移植可执行文件）规范和各种系统标志。可移植可执行文件属性使恶意软件研究人员能够深入了解文件的功能、可执行文件的详细信息、平台和运行时环境。
File doesn't have "Rich" header
File doesn't have exports table
File doesn't have security information
File has TLS information
File is 64-bit executable
File is either console or GUI application
File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
File is Native application (NOT .NET application)
File is not packed
IMAGE_FILE_DLL is not set inside PE header (Executable)
显示更多
IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
HighEntropy
imgui
No Version Info
WriteProcessMemory
x64
i
区块信息
在分析过程中，EnigmaSoft 会将文件样本分解成逻辑块，以便进行分类并与其他样本进行比较。这些逻辑块可用于生成恶意软件检测规则，并根据共享的源代码、功能以及其他显著属性和特征将文件样本分组到不同的家族中。本节概述了这些逻辑块数据及其 EnigmaSoft 分类结果。如果可用，还会显示逻辑块数据的可视化表示。
总区块数：
5,096
潜在恶意块：
483
白名单区块：
4,158
未知区块：
455
0
0
x
?
?
x
0
0
x
0
0
0
x
?
?
0
0
0
0
0
0
0
0
0
x
0
0
0
0
x
0
x
x
x
0
0
0
0
x
1
0
0
0
0
0
0
0
x
0
0
0
0
0
x
0
0
?
0
0
0
x
0
0
0
0
x
0
0
0
1
0
0
0
0
0
0
0
0
x
0
0
0
0
x
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
x
x
x
x
0
x
0
0
x
0
0
0
0
0
x
?
x
0
0
x
0
x
x
x
0
0
x
x
x
0
0
0
x
x
1
x
0
0
0
0
0
0
x
x
x
0
0
0
0
0
x
0
x
0
x
0
0
0
x
x
x
0
x
0
x
0
0
x
0
0
0
0
x
x
x
x
x
0
0
x
x
0
x
x
0
0
0
x
0
0
0
0
0
0
x
x
0
0
x
x
x
x
0
0
0
0
x
0
x
0
0
x
0
x
0
x
0
x
0
0
0
0
0
0
0
0
0
0
0
x
x
x
0
x
x
x
x
x
0
x
x
0
x
0
x
x
x
0
0
x
x
x
0
x
x
0
0
0
0
x
x
0
0
0
0
0
0
x
0
0
x
0
0
0
x
x
x
0
x
x
0
0
0
0
0
0
x
0
x
x
x
0
x
x
0
0
0
0
x
0
0
0
0
x
0
0
0
x
x
0
0
0
x
0
0
x
x
0
0
0
0
0
0
0
0
0
0
0
0
x
0
0
0
0
0
x
0
0
0
0
0
x
x
0
x
x
0
x
0
0
0
0
0
0
0
0
0
0
0
x
0
0
x
0
0
0
0
0
x
x
0
0
0
x
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
x
0
0
0
x
0
0
0
x
0
x
x
0
0
0
x
x
0
0
0
0
0
x
0
0
1
0
0
0
0
0
0
0
0
0
0
0
0
0
x
0
0
x
x
x
x
0
0
0
0
0
0
0
1
0
x
0
x
0
0
0
0
0
0
0
0
0
0
0
0
x
0
0
0
x
x
0
0
0
0
0
0
1
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
x
x
0
0
x
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
1
0
0
0
0
0
0
0
0
0
x
x
0
0
1
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
x
0
x
0
x
x
0
0
0
0
0
x
x
0
0
0
x
0
0
0
0
0
0
0
0
0
0
0
x
0
0
0
x
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
x
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
x
0
0
0
0
0
0
0
x
0
0
x
0
0
0
0
0
x
0
0
0
x
0
0
0
0
x
0
x
0
0
0
0
0
x
0
x
0
0
x
x
0
0
0
0
0
0
0
0
0
0
0
0
0
x
0
0
0
x
x
0
x
0
0
0
0
0
x
x
0
0
0
0
0
x
0
0
0
0
0
0
x
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
x
x
0
0
0
0
0
0
0
0
0
0
0
0
0
0
x
0
0
0
0
0
0
x
0
0
0
0
0
0
0
0
0
0
0
x
0
0
0
0
0
x
0
0
0
0
x
0
0
0
0
0
x
x
x
x
0
0
0
x
0
0
0
0
0
0
1
0
0
x
0
0
0
0
0
0
0
0
0
0
0
0
x
0
x
0
x
1
0
0
x
x
0
0
x
x
0
0
0
0
0
0
0
x
x
x
x
0
0
x
0
1
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
x
x
0
x
0
x
0
0
0
0
0
x
0
0
0
0
0
x
0
x
x
0
0
0
0
0
0
0
0
x
x
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
x
x
x
x
0
x
0
x
0
x
0
0
x
0
x
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
x
x
x
0
0
0
x
x
0
x
x
x
0
x
x
0
0
0
0
0
0
0
x
0
0
0
0
0
x
0
x
0
?
0
x
0
0
0
0
0
x
x
0
x
x
x
0
0
0
x
0
x
0
0
x
0
0
0
0
x
0
0
0
0
0
0
0
0
x
x
x
0
0
0
0
0
x
0
x
0
0
x
x
0
0
0
?
?
x
x
0
0
x
x
x
0
x
?
?
?
?
?
?
?
0
0
x
x
x
x
x
x
x
0
0
x
0
0
x
0
0
0
0
x
0
0
0
0
0
0
1
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
?
0
0
0
?
0
x
?
?
0
?
?
0
x
0
0
?
?
?
?
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
1
0
0
0
0
?
0
0
0
0
0
0
0
1
0
0
0
0
0
0
0
0
0
0
0
?
0
0
0
1
0
0
0
0
0
0
0
0
0
1
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
?
?
?
?
0
0
0
?
?
0
?
?
?
0
0
?
0
0
0
0
0
1
0
0
0
0
1
0
0
0
0
0
1
0
0
0
0
0
1
0
0
0
0
1
0
?
0
0
0
0
0
0
1
0
?
0
?
?
0
?
x
x
x
0
x
x
0
0
?
0
0
0
0
1
0
0
0
?
0
?
?
x
0
0
x
0
x
0
x
0
?
?
?
?
?
?
?
?
?
?
?
?
?
?
0
?
?
?
?
?
0
0
x
x
x
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
?
0
?
0
0
x
0
0
x
0
0
0
0
1
0
x
0
?
0
0
0
0
0
0
?
0
?
0
0
0
?
0
?
0
?
0
?
0
?
0
?
0
?
0
0
0
?
0
0
?
0
?
0
?
0
0
?
0
?
0
0
?
0
0
?
0
?
0
?
0
?
0
?
0
?
0
0
?
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
?
?
0
0
0
0
0
0
0
0
0
x
?
0
?
?
x
x
?
?
?
?
0
?
?
?
x
?
0
?
?
?
?
?
?
0
?
?
x
?
x
?
?
?
?
?
?
?
?
?
?
?
?
?
?
?
?
?
?
?
0
?
0
?
x
x
x
x
x
x
x
x
x
x
x
0
x
?
?
?
?
?
0
0
0
0
0
0
x
0
0
0
0
x
0
?
0
0
0
0
0
x
0
x
x
x
x
x
x
x
0
x
x
x
0
0
0
0
0
x
0
x
0
x
0
0
0
x
0
0
0
0
0
0
0
0
0
0
0
?
?
x
0
?
?
?
?
x
0
?
?
?
0
0
0
?
?
0
?
0
x
0
?
?
x
?
0
0
x
?
0
?
?
?
0
?
?
?
0
?
0
?
0
?
0
?
0
?
0
?
?
?
?
?
?
?
?
?
?
?
?
?
?
?
?
x
0
?
?
0
0
0
0
0
0
0
0
0
0
0
0
0
x
0
0
0
0
0
0
0
0
0
0
0
0
0
x
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
x
0
0
0
0
0
0
x
0
0
0
0
0
0
0
0
0
0
0
0
0
0
x
0
0
0
0
0
0
?
x
x
x
?
?
x
?
?
?
?
0
?
?
0
?
?
x
x
0
0
0
0
?
0
?
0
?
0
?
?
?
?
?
?
?
?
0
?
0
0
0
0
0
0
0
0
x
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
1
1
0
0
0
0
0
0
0
0
0
0
0
0
0
0
x
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
x
0
0
0
0
0
0
0
0
0
0
0
0
0
x
0
0
x
0
?
x
x
0
x
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
x
0
x
0
0
0
0
0
0
0
0
0
0
0
0
0
0
?
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
?
0
0
0
0
0
x
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
?
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
?
0
0
0
0
0
0
0
0
0
0
0
1
0
0
0
0
0
0
0
0
0
0
0
0
x
0
x
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
x
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
x
?
0
?
?
?
?
?
?
0
?
?
?
0
0
?
x
x
x
?
0
x
?
?
0
?
0
...
数据已截断
0 - 可能的保险箱 ? - 未知区块 x - 潜在恶意拦截
i
相似家庭
本节根据 EnigmaSoft 的分析，列出了与此恶意软件家族具有相似性的其他家族。许多恶意软件家族都基于相同的恶意软件工具包创建，并使用相同的打包和加密技术，但各自扩展了独特的功能。相似的家族可能共享源代码、属性、图标、子组件、受损和/或无效的数字签名以及网络特征。研究人员利用这些相似性来快速有效地对文件样本进行分类，并扩展恶意软件检测规则。
