PUP.MSIL.Gamehack.ZE
Wertungsliste der Bedrohung
EnigmaSoft Bedrohungs-Scorecard
EnigmaSoft Threat Scorecards sind Bewertungsberichte für verschiedene Malware-Bedrohungen, die von unserem Forschungsteam gesammelt und analysiert wurden. EnigmaSoft Threat Scorecards bewerten und stufen Bedrohungen anhand verschiedener Metriken ein, darunter reale und potenzielle Risikofaktoren, Trends, Häufigkeit, Prävalenz und Persistenz. EnigmaSoft Threat Scorecards werden regelmäßig auf der Grundlage unserer Forschungsdaten und -metriken aktualisiert und sind für eine Vielzahl von Computerbenutzern nützlich, von Endbenutzern, die nach Lösungen suchen, um Malware von ihren Systemen zu entfernen, bis hin zu Sicherheitsexperten, die Bedrohungen analysieren.
EnigmaSoft Threat Scorecards zeigen eine Vielzahl nützlicher Informationen an, darunter:
Popularitätsrang: Die Rangfolge einer bestimmten Bedrohung in der Bedrohungsdatenbank von EnigmaSoft.
Schweregrad: Der ermittelte Schweregrad eines Objekts, numerisch dargestellt, basierend auf unserem Risikomodellierungsprozess und unserer Forschung, wie in unseren Kriterien zur Bedrohungsbewertung erläutert.
Infizierte Computer: Die Anzahl der bestätigten und vermuteten Fälle einer bestimmten Bedrohung, die auf infizierten Computern entdeckt wurden, wie von SpyHunter gemeldet.
Siehe auch Kriterien für die Bedrohungsbewertung .
| Bedrohungsstufe: | 10 % (Normal) |
| Zum ersten Mal gesehen: | July 2, 2024 |
| Betroffene Betriebssysteme: | Windows |
PUP.MSIL.Gamehack.ZE ist ein Erkennungsname für ein potenziell unerwünschtes Programm (PUP), das Windows-Systeme angreift. Im Gegensatz zu herkömmlicher Malware wird diese Art von Programm nicht immer absichtlich oder ohne Benutzerinteraktion installiert, birgt aber dennoch Risiken und Verhaltensweisen, die die meisten Benutzer nicht wissentlich akzeptieren würden. In diesem Fall ist die Erkennung mit einer Datei verknüpft, die als Spiele-Launcher getarnt ist und sich unter dem Namen „Valiant Cabal Launcher“ präsentiert, der mit einer MMORPG-Anwendung verbunden ist.
Inhaltsverzeichnis
Was PUP.MSIL.Gamehack.ZE tut
Dieses Programm basiert auf dem .NET Framework und ist als 32-Bit-Windows-Anwendung verpackt. Obwohl es nicht im herkömmlichen Sinne gepackt ist (d. h. der Code ist weder komprimiert noch verschleiert), zeigt die Analyse, dass es Verschlüsselungsroutinen, darunter den Rijndael-Algorithmus, verwendet. Dieser kann genutzt werden, um bestimmte Daten oder Funktionen innerhalb des Programms zu schützen oder zu verbergen. Das Programm enthält außerdem Code, der prüft, ob ein Debugger vorhanden ist, und Systeminformationen abfragt. Beides sind Techniken, die häufig bei Software zu finden sind, die der Analyse oder Entdeckung durch Sicherheitsforscher entgehen möchte. Darüber hinaus kann das Programm Token-Berechtigungen anpassen – eine Technik, mit der sich erweiterte Systemberechtigungen erlangen lassen – und auf benutzerbezogene Daten wie Gebietsschemaeinstellungen und Benutzerobjektinformationen zugreifen.
Auch wenn eine legitim klingende Dateibeschreibung und ein Produktname, die mit einem Spiele-Launcher verknüpft sind, das Programm harmlos erscheinen lassen mögen, sind die oben genannten Verhaltensweisen typisch für potenziell unerwünschte Programme (PUPs) vom Typ „Gamehack“ – Programme, die oft behaupten, die Funktionalität von Spielen zu modifizieren oder zu verbessern, stattdessen aber unerwünschte oder riskante Verhaltensweisen auf einem System hervorrufen können.
Wie es üblicherweise auf Computer gelangt
Programme dieser Art werden typischerweise von Nutzern heruntergeladen, die nach Spielmodifikationen, Cheats, Trainern oder inoffiziellen Spiel-Launchern suchen. Sie werden oft zusammen mit anderer kostenloser Software angeboten, von inoffiziellen oder Drittanbieter-Websites heruntergeladen oder über Foren und Filesharing-Plattformen verbreitet, die nicht ausreichend geprüft werden. Häufig installieren Nutzer diese Programme, ohne sich des vollen Umfangs der Systemerweiterungen bewusst zu sein, oft weil der Installations- oder Paketierungsprozess nicht transparent dargestellt wird.
Risiken für den Nutzer
Obwohl diese Erkennung eine geringe Gefahrenstufe aufweist, ist sie nicht völlig risikofrei. Programme dieser Kategorie können Anti-Debugging- und Systemprüfungstechniken einsetzen, was auf den Versuch hindeuten kann, unbemerkt oder unentdeckt zu arbeiten. Die Verwendung von Verschlüsselungsroutinen in Kombination mit Funktionen zur Rechteanpassung kann darauf schließen lassen, dass das Programm für Aktionen konzipiert ist, die über die Anforderungen eines einfachen Spiele-Launchers hinausgehen. Generell können potenziell unerwünschte Programme (PUPs) auch unerwünschte Nebenwirkungen wie unerwartete Änderungen an Browsereinstellungen, die Anzeige von Werbung oder die Installation zusätzlicher unerwünschter Komponenten verursachen, selbst wenn das Verhalten dieses speziellen Beispiels nicht vollständig dokumentiert ist.
Anzeichen einer Infektion
Benutzer bemerken möglicherweise eine ausführbare Datei mit einem spielbezogenen Namen, beispielsweise den Launcher eines MMORPGs, auf ihrem System, ohne sich an deren Installation erinnern zu können. Weitere typische Anzeichen sind unerwartete Systemverlangsamungen, unbekannte, im Hintergrund laufende Prozesse oder ungewöhnliche Berechtigungsabfragen im Zusammenhang mit erhöhten Rechten.
Wie Sie sich schützen können
Um das Risiko von potenziell unerwünschten Programmen (PUPs) wie diesem zu verringern, sollten Nutzer keine Spielmodifikationen, Trainer oder Launcher aus inoffiziellen oder nicht verifizierten Quellen herunterladen. Überprüfen Sie Installationshinweise stets sorgfältig, insbesondere bei der Einrichtung kostenloser Software, um die versehentliche Installation von Zusatzprogrammen zu vermeiden. Ein aktueller Virenschutz oder eine Anti-Malware-Lösung sowie regelmäßige Systemscans helfen ebenfalls, unerwünschte Programme zu erkennen und zu entfernen, bevor sie weitere Probleme verursachen.
Analysebericht
Allgemeine Information
| Nachname: | PUP.MSIL.Gamehack.ZE |
|---|---|
| Signaturstatus: | No Signature |
Bekannte Proben
Bekannte Proben
Dieser Abschnitt listet weitere Dateibeispiele auf, von denen angenommen wird, dass sie mit dieser Familie in Verbindung stehen.|
MD5:
c330aa919cee5113c58618e3d8ab895e
SHA1:
7b97fd5f5681ef63d93c769515ec3b2b4235274a
SHA256:
C6E3AA5E5F2F2F3F159DA55700AB6C35D8493DC538849F7262643E3998937B59
Dateigröße:
60.93 KB, 60928 Bytes
|
Attribute der portablen Windows-Ausführungsdatei
- File doesn't have "Rich" header
- File doesn't have exports table
- File doesn't have security information
- File is .NET application
- File is 32-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Dateisymbole
Dateisymbole
Dieser Abschnitt zeigt Symbolressourcen, die in Familienbeispielen gefunden wurden. Schadsoftware verwendet häufig Symbole, die üblicherweise mit legitimer Software in Verbindung gebracht werden, um Benutzer in die Irre zu führen und ihnen vorzugaukeln, die Schadsoftware sei harmlos.
Windows PE Versionsinformationen
Windows PE Versionsinformationen
Dieser Abschnitt zeigt die Werte und Attribute, die in der Windows-Dateiversionsinformationsstruktur für Beispiele dieser Familie festgelegt wurden. Um Benutzer irrezuführen, fügen Malware-Angreifer häufig gefälschte Versionsinformationen hinzu, die legitime Software imitieren.| Name | Wert |
|---|---|
| Assembly Version | 1.0.0.1 |
| Comments | Valiant Cabal Launcher |
| Company Name | MMORPG Valiant |
| File Description | Valiant Cabal Launcher |
| File Version | 1.0.0.1 |
| Internal Name | cabal.exe |
| Legal Copyright | Copyright © MMORPG Valiant Cabal 2026 |
| Legal Trademarks | www.cabal-valiant.com |
| Original Filename | cabal.exe |
| Product Name | Valiant Cabal Launcher |
| Product Version | 1.0.0.1 |
Dateieigenschaften
- .NET
- HighEntropy
- RijndaelManaged
- x86
Blockinformationen
Blockinformationen
Während der Analyse zerlegt EnigmaSoft Dateiproben in logische Blöcke zur Klassifizierung und zum Vergleich mit anderen Proben. Anhand dieser Blöcke lassen sich Regeln zur Malware-Erkennung generieren und Dateiproben basierend auf gemeinsamem Quellcode, Funktionalität und anderen charakteristischen Merkmalen in Familien einteilen. Dieser Abschnitt enthält eine Zusammenfassung dieser Blockdaten sowie deren Klassifizierung durch EnigmaSoft. Sofern verfügbar, wird auch eine visuelle Darstellung der Blockdaten angezeigt.| Gesamtanzahl der Blöcke: | 69 |
|---|---|
| Potenziell schädliche Blöcke: | 24 |
| Zugelassene Blocker: | 43 |
| Unbekannte Blöcke: | 2 |
Visuelle Karte
? – Unbekannter Block
x – Potenziell schädliche Sperre
Ähnliche Familien
Ähnliche Familien
Dieser Abschnitt listet weitere Malware-Familien auf, die basierend auf der Analyse von EnigmaSoft Ähnlichkeiten mit dieser Familie aufweisen. Viele Malware-Familien werden aus denselben Malware-Toolkits erstellt und verwenden dieselben Pack- und Verschlüsselungstechniken, erweitern ihre Funktionalität jedoch auf einzigartige Weise. Ähnliche Familien können auch Quellcode, Attribute, Symbole, Unterkomponenten, kompromittierte und/oder ungültige digitale Signaturen sowie Netzwerkmerkmale gemeinsam haben. Forscher nutzen diese Ähnlichkeiten, um Dateiproben schnell und effektiv zu priorisieren und Regeln zur Malware-Erkennung zu erweitern.- MSIL.Androm.B
- MSIL.Androm.D
- MSIL.Androm.DB
- MSIL.Gamehack.ZE
- MSIL.Gametool.B
Windows-API-Nutzung
Windows-API-Nutzung
Dieser Abschnitt listet die von den Beispielen dieser Familie verwendeten Windows-API-Aufrufe auf. Die Analyse der Windows-API-Nutzung ist ein wertvolles Werkzeug zur Erkennung schädlicher Aktivitäten wie Keylogging, Rechteausweitung, Datenverschlüsselung, Datenexfiltration, Manipulation von Antivirensoftware und Netzwerkmanipulation.| Kategorie | API |
|---|---|
| User Data Access |
|
| Encryption Used |
|
| Anti Debug |
|
| Other Suspicious |
|