PUP.ProcessHacker.A

PUP.ProcessHacker.A ist ein Erkennungsname, der ein potenziell unerwünschtes Programm (PUP) kennzeichnet, das auf dem legitimen Open-Source-Tool Process Hacker basiert oder als dieses getarnt ist. Während das Originaltool eine legitime Anwendung zur Systemüberwachung ist, identifiziert diese Erkennung Fälle, in denen das Programm so verbreitet, gebündelt oder verwendet wird, dass Benutzer gefährdet werden, oder in denen seine erweiterten Systemfunktionen von anderer unerwünschter oder schädlicher Software ohne das vollständige Wissen oder die Zustimmung des Benutzers ausgenutzt werden.

Was PUP.ProcessHacker.A tut

Diese Erkennung betrifft eine 64-Bit-Windows-Anwendung, die als Systemprozess- und Speicherverwaltungsprogramm fungiert. Tools dieser Kategorie ermöglichen typischerweise das Anzeigen und Bearbeiten laufender Prozesse, die Untersuchung von Diensten und die tiefgreifende Interaktion mit dem Windows-Betriebssystem. Basierend auf den beobachteten technischen Merkmalen kann dieses Programm Dateien beschreiben, Registrierungsschlüssel öffnen und abfragen, mit dem Windows-Dienststeuerungs-Manager interagieren sowie Speicherbereiche innerhalb anderer Prozesse zuweisen, abbilden oder freigeben.

Diese Funktionen sind nicht per se schädlich – sie entsprechen denen legitimer Diagnose- und Verwaltungstools. Werden sie jedoch zusammen mit Adware, unerwünschten Browser-Add-ons oder anderen potenziell unerwünschten Programmen (PUPs) installiert, können sie missbraucht werden, um Sicherheitssoftware zu stören, Schutzprozesse zu beenden oder andere laufende Anwendungen zu manipulieren. Die vorhandenen Anti-Debugging-Prüfungen und die Nutzung systemnaher Aufrufe deuten darauf hin, dass das Programm auf Tarnung und Analyseresistenz ausgelegt ist. Dies ist ein typisches Merkmal von PUPs, die sich einer einfachen Entfernung oder Erkennung entziehen wollen.

Wie es üblicherweise auf Computer gelangt

Wie die meisten potenziell unerwünschten Programme (PUP) gelangt PUP.ProcessHacker.A in der Regel nicht durch direkte, absichtliche Downloads auf den Computer. Stattdessen wird es häufig zusammen mit kostenloser Software installiert, die von Drittanbieter-Websites, Software-Downloadportalen oder Peer-to-Peer-Netzwerken heruntergeladen wird. Benutzer installieren es möglicherweise unbeabsichtigt, indem sie Installationsassistenten zu schnell durchlaufen, auf „Weiter“ klicken, ohne optionale Zusatzprogramme zu prüfen, oder gecrackte oder neu verpackte Installationsdateien herunterladen, die neben der gewünschten Anwendung unbemerkt zusätzliche, unerwünschte Programme enthalten.

Risiken für den Nutzer

Obwohl diese Art von potenziell unerwünschtem Programm (PUP) als wenig gefährlich eingestuft wird, kann es dennoch Risiken bergen. Da es auf den Speicher anderer Prozesse zugreifen und sensible Registrierungsinformationen abfragen kann, besteht die Möglichkeit, dass es die normale Funktion von Sicherheitstools oder anderer Software beeinträchtigt. Benutzer können zudem unerwünschte Änderungen im Systemverhalten, Leistungseinbußen oder die Installation weiterer unerwünschter Software feststellen, falls diese Erkennung Teil eines größeren Softwarepakets ist.

Anzeichen einer Infektion

Benutzer bemerken möglicherweise ein unbekanntes Systemdienstprogramm, das im Hintergrund läuft und das sie nicht absichtlich installiert haben, unerwartete Einträge in ihrer Liste installierter Programme oder ungewöhnliche Aktivitäten von Systemprozessen und -diensten. In manchen Fällen markiert Sicherheitssoftware die Datei bei einem routinemäßigen Scan, ohne dass weitere offensichtliche Symptome auftreten.

Wie Sie sich schützen können

Um potenziell unerwünschte Programme (PUPs) wie dieses zu vermeiden, laden Sie Software immer direkt von den offiziellen Webseiten der Hersteller und nicht von Drittanbietern herunter. Wählen Sie bei der Installation die benutzerdefinierten oder erweiterten Installationsoptionen, damit Sie alle mitgelieferten Zusatzprogramme überprüfen und ablehnen können. Halten Sie Ihr Betriebssystem und Ihre Sicherheitssoftware auf dem neuesten Stand und führen Sie regelmäßig Systemscans durch. Sollte dieses Problem auf Ihrem System auftreten, überprüfen Sie die kürzlich installierten Programme und entfernen Sie alle unbekannten oder unerwünschten.

Analysebericht

Allgemeine Information

Nachname:	PUP.ProcessHacker.A
Signaturstatus:	No Signature

Bekannte Proben

i

Bekannte Proben

Dieser Abschnitt listet weitere Dateibeispiele auf, von denen angenommen wird, dass sie mit dieser Familie in Verbindung stehen.

MD5: 87c9a93a9edb976b71eaa1d9603b896e SHA1: 906050ef2c87db0ec9a9b96032ac9d4231f8992f SHA256: 2B8D618874534A9BFEA8E79C910C7EE6BA023945F3FCC6FE4C91AF71A244859A Dateigröße: 1.78 MB, 1778208 Bytes

Attribute der portablen Windows-Ausführungsdatei

i

Attribute der portablen Windows-Ausführungsdatei

Dieser Abschnitt listet die in den Familienbeispielen gefundenen Dateiattribute auf. Diese Attribute werden aus der Windows PE-Spezifikation (Portable Executable) der Dateien und verschiedenen Systemflags extrahiert. Die Attribute portabler ausführbarer Dateien geben Malware-Forschern Einblick in die Funktionalität einer Datei, Details zur Ausführung, Plattform und Laufzeitumgebung.

• File doesn't have "Rich" header
• File has exports table
• File is 64-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Dateisymbole

i

Dateisymbole

Dieser Abschnitt zeigt Symbolressourcen, die in Familienbeispielen gefunden wurden. Schadsoftware verwendet häufig Symbole, die üblicherweise mit legitimer Software in Verbindung gebracht werden, um Benutzer in die Irre zu führen und ihnen vorzugaukeln, die Schadsoftware sei harmlos.

Windows PE Versionsinformationen

i

Windows PE Versionsinformationen

Dieser Abschnitt zeigt die Werte und Attribute, die in der Windows-Dateiversionsinformationsstruktur für Beispiele dieser Familie festgelegt wurden. Um Benutzer irrezuführen, fügen Malware-Angreifer häufig gefälschte Versionsinformationen hinzu, die legitime Software imitieren.

Name	Wert
File Version	2.39.0.124
Legal Copyright	Licensed under the GNU GPL, v3.
Original Filename	⸠exe
Product Name	⸠ Hacker
Product Version	2.39.0.124

Dateieigenschaften

• ntdll
• WriteProcessMemory
• x64

Blockinformationen

i

Blockinformationen

Während der Analyse zerlegt EnigmaSoft Dateiproben in logische Blöcke zur Klassifizierung und zum Vergleich mit anderen Proben. Anhand dieser Blöcke lassen sich Regeln zur Malware-Erkennung generieren und Dateiproben basierend auf gemeinsamem Quellcode, Funktionalität und anderen charakteristischen Merkmalen in Familien einteilen. Dieser Abschnitt enthält eine Zusammenfassung dieser Blockdaten sowie deren Klassifizierung durch EnigmaSoft. Sofern verfügbar, wird auch eine visuelle Darstellung der Blockdaten angezeigt.

Gesamtanzahl der Blöcke:	4,864
Potenziell schädliche Blöcke:	3,100
Zugelassene Blocker:	1,764
Unbekannte Blöcke:	0

Visuelle Karte

... Daten gekürzt

0 – Wahrscheinlich sichere Blockierung
? – Unbekannter Block
x – Potenziell schädliche Sperre

Ähnliche Familien

i

Ähnliche Familien

Dieser Abschnitt listet weitere Malware-Familien auf, die basierend auf der Analyse von EnigmaSoft Ähnlichkeiten mit dieser Familie aufweisen. Viele Malware-Familien werden aus denselben Malware-Toolkits erstellt und verwenden dieselben Pack- und Verschlüsselungstechniken, erweitern ihre Funktionalität jedoch auf einzigartige Weise. Ähnliche Familien können auch Quellcode, Attribute, Symbole, Unterkomponenten, kompromittierte und/oder ungültige digitale Signaturen sowie Netzwerkmerkmale gemeinsam haben. Forscher nutzen diese Ähnlichkeiten, um Dateiproben schnell und effektiv zu priorisieren und Regeln zur Malware-Erkennung zu erweitern.

• ProcessHacker.A

Geänderte Dateien

i

Geänderte Dateien

Dieser Abschnitt listet Dateien auf, die von Malware-Proben dieser Familie erstellt, geändert, verschoben und/oder gelöscht wurden. Die Aktivitäten im Dateisystem können wertvolle Einblicke in die Funktionsweise von Malware auf dem Betriebssystem liefern.

Datei	Attribute
c:\users\user\downloads\temp\shsandbox-x64.dll-5.23.1.9999-x64.dmp	Generic Read,Write Data,Write Attributes,Write extended,Append data

Windows-API-Nutzung

i

Windows-API-Nutzung

Dieser Abschnitt listet die von den Beispielen dieser Familie verwendeten Windows-API-Aufrufe auf. Die Analyse der Windows-API-Nutzung ist ein wertvolles Werkzeug zur Erkennung schädlicher Aktivitäten wie Keylogging, Rechteausweitung, Datenverschlüsselung, Datenexfiltration, Manipulation von Antivirensoftware und Netzwerkmanipulation.

Kategorie	API
Syscall Use	ntdll.dll!NtAddAtomEx ntdll.dll!NtAdjustPrivilegesToken ntdll.dll!NtAlpcSendWaitReceivePort ntdll.dll!NtClose ntdll.dll!NtConnectPort ntdll.dll!NtCreateKeyedEvent ntdll.dll!NtCreateSection ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtMapViewOfSection ntdll.dll!NtOpenFile Show 28 more ntdll.dll!NtOpenKey ntdll.dll!NtOpenKeyEx ntdll.dll!NtOpenProcessToken ntdll.dll!NtProtectVirtualMemory ntdll.dll!NtQueryAttributesFile ntdll.dll!NtQueryInformationFile ntdll.dll!NtQueryInformationProcess ntdll.dll!NtQueryInformationToken ntdll.dll!NtQueryKey ntdll.dll!NtQueryLicenseValue ntdll.dll!NtQuerySecurityAttributesToken ntdll.dll!NtQueryValueKey ntdll.dll!NtQueryVirtualMemory ntdll.dll!NtQueryVolumeInformationFile ntdll.dll!NtReadRequestData ntdll.dll!NtReleaseWorkerFactoryWorker ntdll.dll!NtRequestWaitReplyPort ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationProcess ntdll.dll!NtSetInformationVirtualMemory ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtTestAlert ntdll.dll!NtTraceControl ntdll.dll!NtUnmapViewOfSection ntdll.dll!NtWaitForWorkViaWorkerFactory ntdll.dll!NtWaitLowEventPair ntdll.dll!NtWriteFile UNKNOWN
Anti Debug	IsDebuggerPresent
User Data Access	GetUserObjectInformation
Service Control	OpenSCManager OpenService