PUP.ProcessHacker.A
威胁评分卡
EnigmaSoft 威胁记分卡
EnigmaSoft 威胁记分卡是针对不同恶意软件威胁的评估报告，由我们的研究团队收集和分析。 EnigmaSoft 威胁记分卡使用多个指标对威胁进行评估和排名，包括现实世界和潜在风险因素、趋势、频率、普遍性和持续性。 EnigmaSoft 威胁记分卡会根据我们的研究数据和指标定期更新，对广泛的计算机用户有用，从寻求解决方案以从系统中删除恶意软件的最终用户到分析威胁的安全专家。
EnigmaSoft 威胁记分卡显示各种有用的信息，包括：
流行度排名： EnigmaSoft威胁数据库中特定威胁的排名。
严重性级别：根据我们的风险建模过程和研究，确定的对象的严重性级别，以数字形式表示，如我们的威胁评估标准中所述。
受感染计算机： SpyHunter 报告的在受感染计算机上检测到的特定威胁的确认和疑似案例数量。
另请参阅威胁评估标准。
| 人气排名： | 2,535 |
| 威胁级别： | 10 % (普通的) |
| 受感染的计算机： | 7,726 |
| 初见： | March 6, 2023 |
| 最后一次露面： | October 29, 2026 |
| 受影响的操作系统： | Windows |
PUP.ProcessHacker.A是一个检测名称，用于标记基于或伪装成合法开源工具 Process Hacker 的潜在有害程序 (PUP)。虽然原工具是一款合法的系统监控应用程序，但此检测旨在识别以下情况：程序以可能危及用户安全的方式分发、捆绑或使用，或者其高级系统级功能被其他恶意软件利用，而用户并未完全理解或同意。
目录
PUP.ProcessHacker.A 的作用
此检测结果针对的是一个 64 位 Windows 可执行文件，它用作系统进程和内存管理实用程序。此类工具通常能够查看和操作正在运行的进程、检查服务以及与 Windows 操作系统进行深度交互。根据观察到的技术特征，该程序可以写入文件、打开和查询注册表项、与 Windows 服务控制管理器交互，以及在其他进程中分配、映射或释放内存区域。
这些功能本身并不恶意——它们与合法的诊断和管理工具所使用的功能相同。然而，当这类实用程序与广告软件、不需要的浏览器插件或其他潜在有害程序 (PUP) 安装程序捆绑在一起时，它们可能会被重新利用，干扰安全软件、终止保护进程或操纵系统上其他正在运行的应用程序。反调试检查和底层系统调用的使用表明，该程序旨在以一定的隐蔽性和抗分析性运行，这是旨在避免被轻易移除或检测的潜在有害程序的常见特征。
它通常是如何进入电脑的
与大多数潜在有害程序 (PUP) 一样，PUP.ProcessHacker.A 通常并非通过直接的、有意的下载方式传播。相反，它通常与从第三方网站、软件下载门户或点对点文件共享网络下载的免费软件捆绑在一起。用户可能在不知不觉中安装了它，例如匆忙完成软件安装向导、未查看可选附加组件就点击“下一步”，或者下载了破解版或重新打包的安装程序，这些安装程序会在安装所需应用程序的同时，悄悄地捆绑其他不需要的程序。
用户面临的风险
尽管此类潜在有害程序 (PUP) 的危险等级较低，但仍可能构成风险。由于它能够与其它进程的内存交互并查询敏感的注册表信息，因此可能被用来干扰安全工具或其他软件的正常运行。如果该程序包含在某个大型分发包中，用户还可能遇到系统行为异常、性能下降，或被迫安装其他捆绑软件的情况。
感染迹象
用户可能会注意到后台运行着一个他们并未主动安装的陌生系统实用程序，已安装程序列表中出现意外条目，或者系统进程和服务出现异常活动。在某些情况下，安全软件可能会在例行扫描期间标记该文件，而没有任何其他明显的症状。
如何做好防护
为避免感染此类潜在有害程序 (PUP)，请务必直接从官方供应商网站下载软件，而非第三方聚合网站。安装过程中，选择“自定义”或“高级”安装选项，以便查看并拒绝任何捆绑的额外程序。保持操作系统和安全软件更新，并定期运行系统扫描。如果系统检测到此类程序，请检查最近安装的程序，并删除任何不熟悉或不需要的程序。
分析报告
一般信息
| 姓： | PUP.ProcessHacker.A |
|---|---|
| 签名状态： | No Signature |
已知样本
已知样本
本节列出了其他据信与该家族有关的文件样本。|
MD5:
87c9a93a9edb976b71eaa1d9603b896e
SHA1:
906050ef2c87db0ec9a9b96032ac9d4231f8992f
SHA256:
2B8D618874534A9BFEA8E79C910C7EE6BA023945F3FCC6FE4C91AF71A244859A
文件大小:
1.78 MB,1778208字节
|
Windows 可移植可执行文件属性
- File doesn't have "Rich" header
- File has exports table
- File is 64-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
文件图标
文件图标
本部分展示了在恶意软件家族样本中找到的图标资源。恶意软件通常会复制与合法软件相关的图标，以误导用户，使其误以为该恶意软件是安全的。
Windows PE 版本信息
Windows PE 版本信息
本节显示此系列样本的 Windows 文件版本信息数据结构中已设置的值和属性。为了误导用户，恶意软件攻击者通常会添加伪造的版本信息，模仿合法软件。| 姓名 | 价值 |
|---|---|
| File Version | 2.39.0.124 |
| Legal Copyright | Licensed under the GNU GPL, v3. |
| Original Filename | ⸠exe |
| Product Name | ⸠ Hacker |
| Product Version | 2.39.0.124 |
文件特征
- ntdll
- WriteProcessMemory
- x64
区块信息
区块信息
在分析过程中，EnigmaSoft 会将文件样本分解成逻辑块，以便进行分类并与其他样本进行比较。这些逻辑块可用于生成恶意软件检测规则，并根据共享的源代码、功能以及其他显著属性和特征将文件样本分组到不同的家族中。本节概述了这些逻辑块数据及其 EnigmaSoft 分类结果。如果可用，还会显示逻辑块数据的可视化表示。| 总区块数： | 4,864 |
|---|---|
| 潜在恶意块： | 3,100 |
| 白名单区块： | 1,764 |
| 未知区块： | 0 |
可视化地图
... 数据已截断? - 未知区块
x - 潜在恶意拦截
相似家庭
相似家庭
本节根据 EnigmaSoft 的分析，列出了与此恶意软件家族具有相似性的其他家族。许多恶意软件家族都基于相同的恶意软件工具包创建，并使用相同的打包和加密技术，但各自扩展了独特的功能。相似的家族可能共享源代码、属性、图标、子组件、受损和/或无效的数字签名以及网络特征。研究人员利用这些相似性来快速有效地对文件样本进行分类，并扩展恶意软件检测规则。- ProcessHacker.A
文件已修改
文件已修改
本节列出了该系列样本创建、修改、移动和/或删除的文件。文件系统活动可以帮助我们深入了解恶意软件在操作系统上的运行方式。| 文件 | 属性 |
|---|---|
| c:\users\user\downloads\temp\shsandbox-x64.dll-5.23.1.9999-x64.dmp | Generic Read,Write Data,Write Attributes,Write extended,Append data |
Windows API 使用情况
Windows API 使用情况
本节列出了此系列样本使用的 Windows API 调用。Windows API 使用情况分析是一项宝贵的工具，可以帮助识别恶意活动，例如键盘记录、安全权限提升、数据加密、数据泄露、干扰防病毒软件以及网络请求篡改。| 类别 | API |
|---|---|
| Syscall Use |
Show 28 more
|
| Anti Debug |
|
| User Data Access |
|
| Service Control |
|