Données concernant les menaces Programmes potentiellement indésirables PUP.Ypack.H

PUP.Ypack.H

Par CagedTech en Programmes potentiellement indésirables
Publié :
Dernière mise à jour :
Se traduisent par :

Fiche d'évaluation menace

Classement de popularité : 2,558
Niveau de menace: 10 % (Normal)
Ordinateurs infectés : 69
Vu la première fois: August 21, 2026
Vu pour la dernière fois : October 15, 2026
Systèmes d'exploitation concernés: Windows

PUP.Ypack.H est un nom de détection utilisé pour identifier un programme potentiellement indésirable (PUP) qui s'installe sur les systèmes Windows, souvent à l'insu de l'utilisateur. Bien qu'il ne soit pas considéré comme extrêmement dangereux, il appartient à une catégorie de logiciels susceptibles de modifier les paramètres du navigateur, de diffuser du contenu indésirable et, de manière générale, de rendre l'utilisation de l'ordinateur moins agréable et moins sûre. Cette détection a été observée avec un fichier s'identifiant en interne comme « YandexPin », mais la présence de ce nom ne signifie pas que tous les fichiers signalés de cette manière proviennent d'une source officielle ou fiable.

Que fait Ypack.H ?

Une fois actifs sur un système, les programmes de cette famille visent généralement à manipuler l'expérience de navigation web de l'utilisateur. Dans le cas présent, l'échantillon détecté est conçu pour ouvrir automatiquement des pages web spécifiques, en redirigeant le navigateur vers une adresse prédéterminée grâce à des commandes qui lancent le navigateur par défaut et chargent une URL particulière. Ce type de comportement est couramment utilisé pour générer du trafic vers certains sites web, promouvoir les moteurs de recherche ou générer des revenus publicitaires pour le distributeur du programme, plutôt que pour apporter un réel avantage à l'utilisateur.

Techniquement, il s'agit d'une application Windows 32 bits native non compressée, ce qui signifie que son code n'est pas fortement obfusqué. Cependant, elle utilise certaines fonctions système liées à la manipulation de la mémoire et à la gestion des processus, parfois exploitées par des logiciels pour modifier le comportement des processus ou lancer d'autres applications en arrière-plan. La chaîne de signature numérique du fichier pointe vers un certificat racine non approuvé, ce qui constitue un signal d'alarme important : les logiciels légitimes et fiables sont généralement signés avec des certificats provenant d'une autorité de certification racine de confiance.

Comment cela se retrouve généralement sur les ordinateurs

Les logiciels potentiellement indésirables (PUP) comme Ypack.H se propagent généralement par le biais de regroupements de logiciels, où ils sont inclus comme composant supplémentaire, souvent présélectionné, lors de l'installation d'un autre programme apparemment sans lien avec le programme principal. Ils peuvent également se propager via des publicités trompeuses, de faux boutons de téléchargement ou des sites de téléchargement de logiciels gratuits qui proposent des outils supplémentaires en plus du programme souhaité. Bien souvent, les utilisateurs consentent involontairement à l'installation en cliquant rapidement sur les étapes de l'assistant d'installation sans examiner les composants optionnels.

Risques pour l’utilisateur

Bien que considéré comme peu dangereux, ce type de programme peut néanmoins engendrer des désagréments et des problèmes de sécurité mineurs. Parmi les risques typiques, on peut citer la modification non désirée de la page d'accueil du navigateur ou des paramètres de recherche par défaut, l'apparition inopinée de fenêtres publicitaires, la redirection des recherches web et une dégradation générale des performances du système due à l'exécution de processus en arrière-plan sans raison apparente. Dans certains cas, ce type de logiciel peut également permettre l'installation d'autres logiciels indésirables ou exposer les utilisateurs à des réseaux publicitaires supplémentaires.

Signes d’infection

Les utilisateurs affectés par ce type de logiciel potentiellement indésirable (PUP) peuvent constater que leur navigateur ouvre automatiquement des sites web inconnus, que leur page d'accueil ou leur moteur de recherche par défaut a été modifié sans leur accord, que de nouvelles barres d'outils ou extensions apparaissent sans explication et que le nombre de fenêtres publicitaires intempestives augmente. Un ralentissement général des performances du navigateur ou du système peut également indiquer la présence d'un programme indésirable s'exécutant en arrière-plan.

Comment rester protégé

Pour éviter les logiciels potentiellement indésirables (PUP) comme Ypack.H, il est conseillé de toujours privilégier les options d'installation personnalisées ou avancées lors de l'installation de nouveaux logiciels, en vérifiant attentivement chaque étape et en repérant les cases pré-cochées proposant des programmes supplémentaires. Télécharger des logiciels uniquement depuis des sources officielles ou fiables, maintenir son système d'exploitation et ses navigateurs à jour, et examiner régulièrement les programmes installés et les extensions de navigateur contribuent également à détecter rapidement les logiciels indésirables. Effectuer des analyses système périodiques et rester vigilant face aux publicités ou aux invitations de téléchargement suspectes réduit encore davantage les risques d'infection par de tels programmes.

Bulletin d'analyse

Informations générales

Nom de famille : PUP.Ypack.H
Statut de la signature : Root Not Trusted

Échantillons connus

MD5: fed6fe4a78ed9f64a2d5b15616608243
SHA1: f4db0db1e67c973d35a03810d5c6ec5efc76affd
SHA256: 126F66BF87CACEC6221DE23EC39FA1464EF9EBE0231382BF8D2DDF53896FB3BB
Taille du fichier: 408.77 KB 408768 octets

Attributs des exécutables portables Windows

  • File doesn't have "Rich" header
  • File doesn't have exports table
  • File is 32-bit executable
  • File is either console or GUI application
  • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
  • File is Native application (NOT .NET application)
  • File is not packed
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Icônes de fichiers

Informations sur la version de Windows PE

Nom Évaluer
File Description YandexPin
File Version 3.7.9.0
Internal Name YandexPin
Legal Copyright Copyright (C) Yandex 2019
Original Filename YandexPin.exe
Product Name YandexPin
Product Version 3.7.9.0

Signatures numériques

Signataire Racine Statut
YANDEX LLC GlobalSign Code Signing Root R45 Root Not Trusted

Caractéristiques du fichier

  • x86

Informations sur le bloc

Nombre total de blocs : 984
Blocages potentiellement malveillants : 114
Blocs autorisés : 870
Blocs inconnus : 0

Carte visuelle

0 0 x x x x x 0 x x 0 x x 0 x 0 x x x 0 x x x x x x x x x x 0 x 0 0 0 0 0 0 0 x 0 0 0 0 0 0 0 0 x 0 0 0 x x x 0 x x x x 0 x x x x 0 0 0 0 x x 0 x x 0 x x x 0 0 x x 0 0 0 0 0 0 0 0 x x 0 x x 0 0 0 0 0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x x x x x x x 0 x x 0 x 0 x x 0 0 0 0 0 0 0 0 0 0 0 x 0 x 0 x 0 0 0 0 0 0 0 0 0 x 0 0 0 0 0 0 x 0 0 0 0 0 x 0 0 x 0 0 0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x 0 x x x x 0 0 0 0 0 0 0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x 0 0 0 0 0 0 x x 0 x x x x x x 0 x x x x x 0 0 x 0 0 x x x x x x 0 x x x x 0 x x 0 0 x x x 0 x x x x x x x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 1 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 3 1 1 1 0 0 0 0 0 0 0 0 0 0 0 0 0 2 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 1 0 0 0 0 0 0 0 0 0 0 0 0 0 1 1 0 0 1 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 1 0 1 0 0 0 0 1 1 0 0 0 0 0 0 0 1 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 1 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 1 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 2 2 0 0 0 1 1 1 0 0 1 0 0 0 0
0 - Blocage probable du coffre-fort
? - Bloc inconnu
x - Blocage potentiellement malveillant

Familles similaires

  • Ypack.H

Modifications du registre

Clé::Valeur Données Nom de l'API
HKCU\software\microsoft\windows\currentversion\explorer::slowcontextmenuentries `$�!�:i��+00��� Gs]XM���"�2��FXD�':D��exA-��LG=�A��J� �C� RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\5.0\cache\content::cacheprefix RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\5.0\cache\cookies::cacheprefix Cookie: RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\5.0\cache\history::cacheprefix Visited: RegNtPreCreateKey
HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75 �n|8��"ajg�8 �� �v ��T��������%��Bx#��$kF&� (�(X�(�)�`*J*9*�"-!R1`1�1HO1��5,]=�@V�A��D�G�IH[uH�pK��N$N�b"hc�wg�Xh�rj�bk`k�ql(�lR p*q�Xr�BtǤvy�w�ny�9z��{b� RegNtPreCreateKey
HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75 �n�8��"ajg�8 �� �v ����T��������%��Bx#��$kF&� (�(X�(�)�`*J*9*�"-!R1`1�1HO1��5,]=�@V�A��D�G�IH[uH�pK��N$N�b"hc�wg�Xh�rj�bk`k�ql(�lR p*q�Xr�BtǤvy�w�nx�dy�9 RegNtPreCreateKey
HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75 �n�8��"ajg�8 �� �v ����T��������%��Bx#��$kF&� (�(X�(�)�`*J*9*�"-!R1`1�1HO1��5,]=�@V�A��D�G�IH[uH�pK��N$N�b"hc�wg�Xh�rj�bk`k�ql(�lR p*q�Xr�BtǤvy�w�nx�dy�9 RegNtPreCreateKey
HKCU\software\microsoft\edge\elfbeacon::version 153.0.4234.32 RegNtPreCreateKey

Utilisation de l’API Windows

Catégorie API
Process Manipulation Evasion
  • NtUnmapViewOfSection
Process Shell Execute
  • CreateProcess
  • ShellExecute
Syscall Use
  • ntdll.dll!NtAccessCheck
  • ntdll.dll!NtAlpcSendWaitReceivePort
  • ntdll.dll!NtApphelpCacheControl
  • ntdll.dll!NtClose
  • ntdll.dll!NtCreateFile
  • ntdll.dll!NtCreateMutant
  • ntdll.dll!NtCreateSection
  • ntdll.dll!NtCreateSemaphore
  • ntdll.dll!NtDeleteValueKey
  • ntdll.dll!NtDuplicateToken
Afficher plus
  • ntdll.dll!NtFreeVirtualMemory
  • ntdll.dll!NtMapViewOfSection
  • ntdll.dll!NtOpenFile
  • ntdll.dll!NtOpenKey
  • ntdll.dll!NtOpenKeyEx
  • ntdll.dll!NtOpenProcessToken
  • ntdll.dll!NtOpenProcessTokenEx
  • ntdll.dll!NtOpenSection
  • ntdll.dll!NtOpenThreadTokenEx
  • ntdll.dll!NtPowerInformation
  • ntdll.dll!NtProtectVirtualMemory
  • ntdll.dll!NtQueryAttributesFile
  • ntdll.dll!NtQueryInformationProcess
  • ntdll.dll!NtQueryInformationThread
  • ntdll.dll!NtQueryInformationToken
  • ntdll.dll!NtQueryKey
  • ntdll.dll!NtQueryLicenseValue
  • ntdll.dll!NtQueryPerformanceCounter
  • ntdll.dll!NtQuerySecurityObject
  • ntdll.dll!NtQuerySystemInformation
  • ntdll.dll!NtQuerySystemInformationEx
  • ntdll.dll!NtQueryValueKey
  • ntdll.dll!NtQueryVirtualMemory
  • ntdll.dll!NtReadRequestData
  • ntdll.dll!NtReleaseMutant
  • ntdll.dll!NtReleaseWorkerFactoryWorker
  • ntdll.dll!NtSetEvent
  • ntdll.dll!NtSetInformationVirtualMemory
  • ntdll.dll!NtSetInformationWorkerFactory
  • ntdll.dll!NtTestAlert
  • ntdll.dll!NtWaitForSingleObject
  • ntdll.dll!NtWriteFile
  • UNKNOWN

Exécution de commandes Shell

open www.ya.ru?clid=1961774-1
"C:\Program Files (x86)\Microsoft\Edge\Application\msedge.exe" --edge-skip-compat-layer-relaunch --single-argument http://www.ya.ru/?clid=1961774-1