PUP.Gametool.J

PUP.Gametool.J est un programme potentiellement indésirable (PUP) ciblant les ordinateurs Windows. Il est généralement associé à des lanceurs de jeux ou à des outils de mise à jour automatique. Bien qu'il ne soit pas considéré comme extrêmement dangereux, sa présence peut néanmoins perturber le système de l'utilisateur. Les chercheurs en sécurité suivent ce nom de détection depuis fin 2022, et il continue d'apparaître régulièrement dans les analyses, ce qui indique qu'il est toujours en circulation.

Que fait PUP.Gametool.J ?

PUP.Gametool.J se présente comme un utilitaire légitime, généralement intégré à un programme de mise à jour automatique ou à un lanceur de jeu. Une fois installé, il peut s'exécuter discrètement en arrière-plan, effectuant des tâches de mise à jour ou de maintenance sans toujours indiquer clairement sa nature ni sa finalité. Comme de nombreux programmes potentiellement indésirables, il peut être installé avec d'autres logiciels sans le consentement explicite de l'utilisateur et présenter des comportements typiques de cette catégorie : lancement automatique au démarrage, communication réseau ou lancement de processus supplémentaires sans intervention de l'utilisateur. Il n'est pas rare que ces outils utilisent des fonctions système de gestion des processus, ce qui peut parfois compliquer leur identification ou leur suppression manuelle par un utilisateur lambda.

Comment cela se retrouve sur les ordinateurs

Comme c'est souvent le cas pour les logiciels potentiellement indésirables (PUP), PUP.Gametool.J ne s'installe généralement pas par téléchargement direct et volontaire de logiciel malveillant. Il est plutôt souvent inclus dans les programmes d'installation d'autres logiciels, notamment ceux liés aux outils de jeu, aux lanceurs ou aux utilitaires de mise à jour automatique. Les utilisateurs peuvent y être exposés après avoir téléchargé des logiciels depuis des sites web non officiels ou tiers, des réseaux peer-to-peer ou des packages d'installation groupés contenant des composants supplémentaires pré-cochés. Les écrans d'installation de ces logiciels groupés dissimulant souvent les modules complémentaires optionnels dans les options de configuration « personnalisées » ou « avancées », de nombreux utilisateurs finissent par installer ces programmes sans s'en rendre compte.

Risques pour l’utilisateur

Avec un niveau de danger faible sur une échelle de risque classique, PUP.Gametool.J n'est pas considéré comme une menace grave comparé à des logiciels malveillants à haut risque tels que les rançongiciels ou les logiciels espions. Cependant, les programmes potentiellement indésirables (PUP) peuvent tout de même poser problème. Il peut s'agir de processus indésirables en arrière-plan consommant des ressources système, d'une activité réseau inattendue, de modifications du comportement du système sans consentement explicite de l'utilisateur et de l'installation d'autres composants indésirables. L'absence de signature numérique rend la vérification de sa légitimité plus difficile, ce qui ajoute une incertitude quant à son origine et à sa finalité.

Signes d’infection

Il arrive que les utilisateurs remarquent un programme s'exécutant en arrière-plan sans s'en souvenir, souvent lié à la mise à jour d'un jeu ou à son lanceur. Parmi les autres signes caractéristiques, on peut citer l'apparition de processus inattendus dans le Gestionnaire des tâches, d'entrées inconnues dans les programmes de démarrage, une activité réseau accrue en arrière-plan, ou encore la présence de fichiers et de traces associés dans les dossiers système sans explication claire.

Comment rester protégé

Pour réduire le risque de rencontrer des programmes comme PUP.Gametool.J, téléchargez les logiciels uniquement depuis des sources officielles ou fiables et évitez les portails de téléchargement tiers qui redistribuent les installateurs. Choisissez toujours les options d'installation « personnalisée » ou « avancée » afin de pouvoir examiner et désélectionner les composants inclus avant l'installation. Maintenez votre système d'exploitation et votre logiciel de sécurité à jour et vérifiez régulièrement les programmes installés et les éléments de démarrage pour détecter tout élément suspect. Effectuer régulièrement des analyses système avec un logiciel de sécurité réputé peut également aider à détecter et à supprimer les programmes indésirables avant qu'ils ne causent d'autres problèmes.

Bulletin d'analyse

Informations générales

Nom de famille :	PUP.Gametool.J
Statut de la signature :	No Signature

Échantillons connus

i

Échantillons connus

Cette section répertorie d'autres exemples de fichiers que l'on pense être associés à cette famille.

MD5: fa7bbfa1ff157a0bf9b27058c83e0bb8 SHA1: a7be2076fd77ee3bbe83c625a850729eab7e14b6 SHA256: D8CE8634D4F8467F25F4E4D4DE58CA828AE4A979A7A3D1D5C030E6A2C3A5E400 Taille du fichier: 1.88 MB 1877504 octets

Attributs des exécutables portables Windows

i

Attributs des exécutables portables Windows

Cette section répertorie les attributs de fichiers présents dans les échantillons de la famille. Ces attributs sont extraits de la spécification Windows PE (Portable Executable) des fichiers et de divers indicateurs système. Les attributs des exécutables portables permettent aux chercheurs en sécurité informatique d'obtenir des informations sur les fonctionnalités, les détails d'exécution, la plateforme et l'environnement d'exécution d'un fichier.

• File doesn't have "Rich" header
• File doesn't have exports table
• File doesn't have security information
• File is .NET application
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Icônes de fichiers

i

Icônes de fichiers

Cette section présente les ressources d'icônes trouvées dans les échantillons de la famille. Les logiciels malveillants reproduisent souvent des icônes couramment associées à des logiciels légitimes afin d'induire les utilisateurs en erreur et de leur faire croire qu'ils sont sûrs.

Informations sur la version de Windows PE

i

Informations sur la version de Windows PE

Cette section présente les valeurs et les attributs définis dans la structure de données des informations de version des fichiers Windows pour les échantillons de cette famille. Afin de tromper les utilisateurs, les auteurs de logiciels malveillants ajoutent souvent de fausses informations de version imitant celles des logiciels légitimes.

Nom	Évaluer
Assembly Version	1.0.0.0
Comments	Võ Lâm Truyền Kỳ - Auto Update Launcher
Company Name	JX Tinh Thien Ha
File Description	Autoupdate
File Version	1.0.0.0
Internal Name	Autoupdate.exe
Legal Copyright	Copyright © 2021
Original Filename	Autoupdate.exe
Product Name	Autoupdate
Product Version	1.0.0.0

Caractéristiques du fichier

• .NET
• HighEntropy
• x86

Informations sur le bloc

i

Informations sur le bloc

Lors de l'analyse, EnigmaSoft segmente les échantillons de fichiers en blocs logiques afin de les classer et de les comparer à d'autres échantillons. Ces blocs permettent de générer des règles de détection de logiciels malveillants et de regrouper les échantillons de fichiers en familles en fonction du code source partagé, des fonctionnalités et d'autres attributs et caractéristiques distinctifs. Cette section présente un résumé de ces données de bloc, ainsi que leur classification par EnigmaSoft. Une représentation visuelle des données de bloc est également affichée, le cas échéant.

Nombre total de blocs :	166
Blocages potentiellement malveillants :	19
Blocs autorisés :	106
Blocs inconnus :	41

Carte visuelle

0 0 0 0 ? ? ? x ? x x ? ? ? ? ? 0 0 0 0 0 0 0 0 ? 0 0 ? ? ? 0 0 0 ? ? ? ? ? 0 ? ? ? ? ? ? ? 0 x x 0 0 x 0 0 ? 0 0 ? ? ? ? ? 0 ? 0 x ? 0 x x x ? 0 x x x 0 ? x x x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x x x ? ? ? ? ? 0 ?

0 - Blocage probable du coffre-fort
? - Bloc inconnu
x - Blocage potentiellement malveillant

Fichiers modifiés

i

Fichiers modifiés

Cette section répertorie les fichiers créés, modifiés, déplacés et/ou supprimés par les échantillons de cette famille. L'activité du système de fichiers peut fournir des informations précieuses sur le fonctionnement des logiciels malveillants au sein du système d'exploitation.

Déposer	Attributs
\device\namedpipe\gmdasllogger	Generic Write,Read Attributes
c:\windows\appcompat\programs\amcache.hve	Read Data,Read Control,Write Data
c:\windows\appcompat\programs\amcache.hve	Write Attributes

Modifications du registre

i

Modifications du registre

Cette section répertorie les clés et valeurs de registre créées, modifiées et/ou supprimées par les échantillons de cette famille. L'activité du registre Windows peut fournir des informations précieuses sur le fonctionnement des logiciels malveillants. De plus, ces derniers créent souvent des valeurs de registre pour pouvoir démarrer automatiquement et persister indéfiniment après une infection initiale du système.

Clé::Valeur	Données	Nom de l'API
HKLM\system\software\microsoft\tip\aggregateresults::data	隞̃蘁耀꧌-	RegNtPreCreateKey

Utilisation de l’API Windows

i

Utilisation de l'API Windows

Cette section répertorie les appels d'API Windows utilisés par les exemples de cette famille. L'analyse de l'utilisation des API Windows est un outil précieux permettant d'identifier les activités malveillantes, telles que l'enregistrement des frappes au clavier, l'élévation de privilèges, le chiffrement et l'exfiltration de données, l'interférence avec les logiciels antivirus et la manipulation des requêtes réseau.

Catégorie	API
Syscall Use	ntdll.dll!NtAccessCheck ntdll.dll!NtAdjustPrivilegesToken ntdll.dll!NtAlertThreadByThreadId ntdll.dll!NtAlpcConnectPort ntdll.dll!NtAlpcSendWaitReceivePort ntdll.dll!NtApphelpCacheControl ntdll.dll!NtAssociateWaitCompletionPacket ntdll.dll!NtClearEvent ntdll.dll!NtClose ntdll.dll!NtConnectPort Afficher plus ntdll.dll!NtCreateEvent ntdll.dll!NtCreateIoCompletion ntdll.dll!NtCreateKey ntdll.dll!NtCreateMutant ntdll.dll!NtCreateSection ntdll.dll!NtCreateSemaphore ntdll.dll!NtCreateTimer2 ntdll.dll!NtCreateWaitCompletionPacket ntdll.dll!NtCreateWorkerFactory ntdll.dll!NtDelayExecution ntdll.dll!NtDeleteValueKey ntdll.dll!NtDeviceIoControlFile ntdll.dll!NtDuplicateObject ntdll.dll!NtDuplicateToken ntdll.dll!NtEnumerateKey ntdll.dll!NtEnumerateValueKey ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtFsControlFile ntdll.dll!NtLoadKeyEx ntdll.dll!NtMapViewOfSection ntdll.dll!NtNotifyChangeKey ntdll.dll!NtOpenDirectoryObject ntdll.dll!NtOpenEvent ntdll.dll!NtOpenFile ntdll.dll!NtOpenKey ntdll.dll!NtOpenKeyEx ntdll.dll!NtOpenProcessToken ntdll.dll!NtOpenProcessTokenEx ntdll.dll!NtOpenSection ntdll.dll!NtOpenSemaphore ntdll.dll!NtOpenSymbolicLinkObject ntdll.dll!NtOpenThread ntdll.dll!NtOpenThreadToken ntdll.dll!NtOpenThreadTokenEx ntdll.dll!NtProtectVirtualMemory ntdll.dll!NtQueryAttributesFile ntdll.dll!NtQueryDefaultLocale ntdll.dll!NtQueryDirectoryFileEx ntdll.dll!NtQueryInformationFile ntdll.dll!NtQueryInformationProcess ntdll.dll!NtQueryInformationThread ntdll.dll!NtQueryInformationToken ntdll.dll!NtQueryKey ntdll.dll!NtQueryLicenseValue ntdll.dll!NtQueryPerformanceCounter ntdll.dll!NtQuerySecurityAttributesToken ntdll.dll!NtQuerySecurityObject ntdll.dll!NtQuerySymbolicLinkObject ntdll.dll!NtQuerySystemInformation ntdll.dll!NtQuerySystemInformationEx ntdll.dll!NtQueryValueKey ntdll.dll!NtQueryVirtualMemory ntdll.dll!NtQueryVolumeInformationFile ntdll.dll!NtQueryWnfStateData ntdll.dll!NtReadRequestData ntdll.dll!NtReadVirtualMemory ntdll.dll!NtReleaseMutant ntdll.dll!NtReleaseSemaphore ntdll.dll!NtReleaseWorkerFactoryWorker ntdll.dll!NtRequestWaitReplyPort ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationKey ntdll.dll!NtSetInformationProcess ntdll.dll!NtSetInformationThread ntdll.dll!NtSetInformationVirtualMemory ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtSubscribeWnfStateChange ntdll.dll!NtTestAlert ntdll.dll!NtTraceControl ntdll.dll!NtTraceEvent ntdll.dll!NtUnmapViewOfSection ntdll.dll!NtUnmapViewOfSectionEx ntdll.dll!NtWaitForAlertByThreadId ntdll.dll!NtWaitForSingleObject ntdll.dll!NtWaitForWorkViaWorkerFactory ntdll.dll!NtWaitLowEventPair ntdll.dll!NtWorkerFactoryWorkerReady ntdll.dll!NtWriteFile UNKNOWN
User Data Access	GetUserObjectInformation
Anti Debug	IsDebuggerPresent
Other Suspicious	AdjustTokenPrivileges
Process Manipulation Evasion	NtUnmapViewOfSection ReadProcessMemory
Process Shell Execute	CreateProcess
Encryption Used	BCryptOpenAlgorithmProvider

Exécution de commandes Shell

i

Exécution de commandes Shell

Cette section répertorie les commandes de l'interpréteur de commandes Windows exécutées par les échantillons de cette famille. Ces commandes sont fréquemment utilisées par les logiciels malveillants à des fins malveillantes et peuvent servir à élever les privilèges d'administrateur, télécharger et exécuter d'autres logiciels malveillants, exploiter des vulnérabilités, collecter et exfiltrer des données, et dissimuler des activités malveillantes.

C:\Windows\Microsoft.NET\Framework64\v2.0.50727\\dw20.exe dw20.exe -x -s 896