Données concernant les menaces Programmes potentiellement indésirables PUP.Gamehack.FFH

PUP.Gamehack.FFH

Par CagedTech en Programmes potentiellement indésirables
Publié :
Se traduisent par :

Fiche d'évaluation menace

Classement de popularité : 15,302
Niveau de menace: 10 % (Normal)
Ordinateurs infectés : 138
Vu la première fois: March 25, 2023
Vu pour la dernière fois : October 21, 2026
Systèmes d'exploitation concernés: Windows

PUP.Gamehack.FFH est un nom de détection utilisé pour identifier un programme potentiellement indésirable (PUP) associé à des outils de modification de jeux, notamment ceux liés à un composant « outil de gameplay » souvent associé à la série PES (Pro Evolution Soccer). Bien qu'il ne soit pas classé comme extrêmement dangereux, ce programme entre dans la catégorie des « programmes potentiellement indésirables » car il présente des comportements que de nombreux utilisateurs pourraient ne pas souhaiter ou anticiper une fois installé sur leur système.

Que fait PUP.Gamehack.FFH ?

Le fichier PUP.Gamehack.FFH est un fichier DLL Windows 32 bits. Ses informations internes font référence à un « outil de jeu » lié à un logiciel de jeu. À l'exécution, il peut être chargé par des utilitaires Windows comme rundll32.exe, un outil système légitime parfois détourné pour exécuter du code suspect de manière plus discrète. Cette technique peut rendre plus difficile pour un utilisateur lambda de détecter une activité anormale.

Comme d'autres programmes potentiellement indésirables (PUP), ce logiciel peut modifier des fichiers système Windows ou des journaux de transactions liés au registre lors de son installation ou de son exécution. Bien que l'échantillon en question ne présente pas de comportement ouvertement destructeur, il interagit avec des fichiers système sensibles et utilise des appels système de bas niveau. Certains de ces appels sont liés à la manipulation de processus et à des techniques anti-débogage, généralement utilisées pour rendre le programme plus difficile à analyser ou pour l'exécuter de manière à éviter sa détection immédiate.

Les PUP typiques de cette famille peuvent également adopter des comportements tels que l'installation de composants indésirables supplémentaires, la modification des paramètres du navigateur ou de l'application, l'affichage de publicités indésirables ou l'installation de logiciels supplémentaires sans en informer clairement l'utilisateur.

Comment cela se retrouve généralement sur les ordinateurs

Des programmes comme PUP.Gamehack.FFH sont souvent fournis avec d'autres logiciels gratuits ou piratés, tels que des outils de modification de jeux, des correctifs, des entraîneurs ou des extensions « non officielles ». Les utilisateurs peuvent télécharger ces outils depuis des sites web tiers, des forums ou des services de partage de fichiers, parfois sans se rendre compte que des logiciels supplémentaires seront installés en même temps que le téléchargement prévu. Dans de nombreux cas, l'installation se fait avec un consentement partiel ou vague, car les utilisateurs cliquent rapidement sur les étapes de l'assistant d'installation sans lire l'intégralité des conditions.

Risques pour l’utilisateur

Bien que le logiciel potentiellement indésirable (PUP) Gamehack.FFH présente un faible niveau de dangerosité général, sa présence peut néanmoins engendrer des risques. Cet outil utilise des techniques généralement associées à l'évasion, telles que des contrôles anti-débogage et des opérations mémoire de bas niveau, ce qui peut rendre sa détection difficile par une simple observation. De plus, comme le programme interagit avec des fichiers système essentiels, il existe un risque d'instabilité du système, de plantages inattendus ou de conflits avec d'autres logiciels installés. Enfin, comme pour de nombreux logiciels potentiellement indésirables (PUP), il est possible que cet outil soit reconditionné ou intégré à des composants plus dangereux par des distributeurs non autorisés.

Signes d’infection

Les utilisateurs peuvent remarquer des processus en arrière-plan inattendus, notamment ceux impliquant rundll32.exe qui lancent des fichiers inconnus. Parmi les autres signes, on peut citer des ralentissements système inexpliqués, des entrées inhabituelles dans les programmes de démarrage ou l'apparition de fichiers dans les dossiers de téléchargements sans qu'ils aient été enregistrés intentionnellement. Ce type de logiciel potentiellement indésirable (PUP) ne présentant pas toujours de symptômes évidents, de nombreux utilisateurs peuvent ne pas se rendre compte de sa présence avant qu'il ne soit détecté lors d'une analyse système.

Comment rester protégé

Pour éviter les logiciels indésirables comme PUP.Gamehack.FFH, il est préférable de télécharger uniquement les modifications, outils et correctifs de jeux depuis des sources officielles ou fiables. Examiner attentivement les invites d'installation et refuser les offres groupées permet d'empêcher l'installation de programmes indésirables. Maintenir son logiciel de sécurité à jour et effectuer des analyses système régulières contribuent également à identifier et à supprimer ces programmes avant qu'ils ne causent d'autres problèmes.

Bulletin d'analyse

Informations générales

Nom de famille : PUP.Gamehack.FFH
Statut de la signature : No Signature

Échantillons connus

MD5: fa4dff588a25074f03d542a0cf6a1f2e
SHA1: c92711975a2d98cea0ad76e300da6331b04c9a2d
SHA256: 52B57DD3203AE10537AD1E1FA2F7D0A62B39B8D2E0C3D6C97EF6C9FE51457F72
Taille du fichier: 218.62 KB 218624 octets

Attributs des exécutables portables Windows

  • File doesn't have "Rich" header
  • File doesn't have debug information
  • File doesn't have security information
  • File has exports table
  • File is 32-bit executable
  • File is either console or GUI application
  • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
  • File is Native application (NOT .NET application)
  • File is not packed
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
Afficher plus
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Informations sur la version de Windows PE

Nom Évaluer
Comments PES2013 - Gameplay tool
Company Name Jenkey1002 Production
File Description PES2013 - Gameplay tool
File Version 3.3.5.0
Internal Name Gameplaytool.dll
Legal Copyright Copyright (C) 2012. Jenkey1002
Original Filename Gameplaytool.dll
Product Name PES2013 - Gameplay tool
Product Version 3.3.5.0

Caractéristiques du fichier

  • dll
  • HighEntropy
  • x86

Informations sur le bloc

Nombre total de blocs : 825
Blocages potentiellement malveillants : 3
Blocs autorisés : 753
Blocs inconnus : 69

Carte visuelle

0 ? ? x ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? 0 0 0 0 0 0 0 0 ? ? 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ? 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ? 0 0 0 0 0 ? 0 0 0 ? ? 0 0 0 0 0 0 0 0 0 0 0 ? ? ? ? ? 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ? ? ? ? ? ? 1 1 0 0 0 ? x ? ? 0 ? x 0 ? ? ? ? ? ? ? ? 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ? ? ? 0 0 0 ? 0 ? 0 0 0 0 0 0 0 ? ? 0 0 0 0 ? 0 ? ? ? ? 0 ? ? ? ? ? 0 0 0 0 ? 0 0 0 0 0 1 1 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 1 1 1 1 2 0 1 0 0 0 0 1 0 0 0 0 0 1 0 0 0 0 0 1 0 0 0 1 1 0 0 0 0 0 0 0 0 0 1 0 0 1 0 0 1 0 0 1 0 0 1 0 0 1 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 1 0 0 0 0 0 0 1 1 0 1 0 0 0 1 0 0 0 0 1 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 1 0 1 1 0 0 1 0 0 0 0 0 0 0 0 0 1 1 3 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 1 1 0 0 0 0 0 0 0 0 0 0 0 0 2 3 0 1 1 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 1 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 1 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 1 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 2 2 1 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 2 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 ? ? ? ? 1
0 - Blocage probable du coffre-fort
? - Bloc inconnu
x - Blocage potentiellement malveillant

Fichiers modifiés

Déposer Attributs
c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.0.regtrans-ms Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.1.regtrans-ms Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.2.regtrans-ms Generic Read,Write Data,Write Attributes,Write extended,Append data

Utilisation de l’API Windows

Catégorie API
Syscall Use
  • ntdll.dll!NtAlpcSendWaitReceivePort
  • ntdll.dll!NtClose
  • ntdll.dll!NtCreateFile
  • ntdll.dll!NtCreateSection
  • ntdll.dll!NtFreeVirtualMemory
  • ntdll.dll!NtMapViewOfSection
  • ntdll.dll!NtOpenFile
  • ntdll.dll!NtOpenKey
  • ntdll.dll!NtOpenProcessToken
  • ntdll.dll!NtQueryAttributesFile
Afficher plus
  • ntdll.dll!NtQueryDebugFilterState
  • ntdll.dll!NtQueryInformationProcess
  • ntdll.dll!NtQueryInformationToken
  • ntdll.dll!NtQuerySystemInformationEx
  • ntdll.dll!NtQueryValueKey
  • ntdll.dll!NtQueryVirtualMemory
  • ntdll.dll!NtQueryVolumeInformationFile
  • ntdll.dll!NtReadFile
  • ntdll.dll!NtSetEvent
  • ntdll.dll!NtSetInformationFile
  • ntdll.dll!NtSetInformationProcess
  • ntdll.dll!NtSetInformationVirtualMemory
  • ntdll.dll!NtSetInformationWorkerFactory
  • ntdll.dll!NtTestAlert
  • ntdll.dll!NtTraceControl
  • ntdll.dll!NtUnmapViewOfSection
  • ntdll.dll!NtWriteFile
Process Manipulation Evasion
  • NtUnmapViewOfSection
Process Shell Execute
  • CreateProcess
Anti Debug
  • NtQuerySystemInformation

Exécution de commandes Shell

C:\WINDOWS\SysWOW64\rundll32.exe C:\WINDOWS\system32\rundll32.exe c:\users\user\downloads\c92711975a2d98cea0ad76e300da6331b04c9a2d_0000218624.,LiQMAxHB