PUP.GameHack.GACM

PUP.GameHack.GACM es un nombre de detección que se utiliza para identificar un Programa Potencialmente No Deseado (PUP, por sus siglas en inglés) que afecta a ordenadores con Windows, a menudo asociado con herramientas que afirman modificar, desbloquear o "hackear" videojuegos. Aunque se clasifica como una amenaza de bajo riesgo, los usuarios que detecten este programa en su sistema deben tomarlo en serio, ya que los PUP de este tipo suelen venir acompañados de software no deseado y pueden comportarse de maneras que comprometen la privacidad, la estabilidad o el rendimiento.

¿Qué hace PUP.GameHack.GACM?

Los programas detectados por este sistema suelen distribuirse como archivos ejecutables que se hacen pasar por herramientas o utilidades legítimas relacionadas con juegos. En algunos casos, el archivo puede estar disfrazado con nombres o marcas similares a las de plataformas de juegos conocidas, en un intento por parecer confiable y evitar sospechas de los usuarios que analizan sus descargas. En lugar de identificarse abiertamente como software de terceros o no oficial, puede presentarse utilizando nombres genéricos o prestados.

Una vez activas, las aplicaciones de esta familia pueden interactuar con los procesos y la memoria del sistema, lo cual es típico de las aplicaciones que intentan modificar el funcionamiento de un juego o programa. Este tipo de comportamiento, si bien a veces se utiliza para la automatización legítima, también se asocia comúnmente con programas potencialmente no deseados (PUP, por sus siglas en inglés) que inyectan código no deseado, monitorizan la actividad del sistema o permiten la carga de componentes adicionales no deseados sin un consentimiento claro e independiente del usuario.

Al igual que muchos programas potencialmente no deseados (PUP, por sus siglas en inglés), GameHack.GACM también puede dar lugar a otros comportamientos no deseados típicos de esta categoría de software, como mostrar anuncios adicionales, alterar la configuración del navegador, instalar barras de herramientas o incluir programas adicionales que el usuario no haya solicitado específicamente.

Cómo suele llegar a los ordenadores

Los programas potencialmente no deseados (PUP, por sus siglas en inglés) como este suelen propagarse a través de instaladores de software incluidos en paquetes, sitios de descarga de software gratuito, herramientas de modificación de juegos pirateadas o modificadas y portales de descarga de terceros. Los usuarios a menudo instalan estos programas sin darse cuenta al completar rápidamente los asistentes de instalación, aceptando las opciones predeterminadas sin revisar las ofertas adicionales incluidas. Dado que muchos PUP dependen de algún tipo de consentimiento del usuario —aunque sea vago o esté oculto en la letra pequeña—, pueden distribuirse legalmente incluso si su comportamiento no es deseado por la mayoría de los usuarios.

Riesgos para el usuario

Aunque se les clasifica como de bajo riesgo, los programas potencialmente no deseados (PUP) de esta categoría pueden generar problemas reales. Los riesgos suelen incluir una disminución del rendimiento del sistema, cambios no deseados en la configuración del navegador o las aplicaciones, mayor exposición a la publicidad y una mayor probabilidad de que se instale software no deseado adicional. Dado que este tipo de programa puede interactuar con la memoria y los procesos del sistema, también existe la posibilidad de que se utilice para distribuir componentes más dañinos en el futuro, incluso si el PUP original no es altamente destructivo.

Signos de infección

Algunos indicios comunes de que puede haber un programa potencialmente no deseado (PUP) de este tipo incluyen la aparición de programas o accesos directos nuevos e inesperados en el escritorio, procesos desconocidos que se ejecutan en segundo plano, una ralentización general del rendimiento del sistema, anuncios emergentes inesperados o cambios en las páginas de inicio del navegador y la configuración de búsqueda que el usuario no haya realizado.

Cómo mantenerse protegido

Para reducir el riesgo de encontrar programas potencialmente no deseados (PUP, por sus siglas en inglés) como GameHack.GACM, los usuarios deben evitar descargar herramientas de modificación de juegos, cracks o "hacks" de fuentes no oficiales. Al instalar software nuevo, siempre elija la opción de instalación personalizada para poder revisar y rechazar los complementos adicionales, y mantenga una solución de seguridad confiable activa y actualizada para detectar programas no deseados antes de que se ejecuten. Revisar periódicamente los programas instalados y las extensiones del navegador también puede ayudar a detectar a tiempo las adiciones no deseadas.

Reporte de análisis

Información general

Apellido:	PUP.GameHack.GACM
Estado de la firma:	Self Signed

Muestras conocidas

i

Muestras conocidas

Esta sección enumera otras muestras de archivos que se cree que están asociadas con esta familia.

MD5: 204902fba59ca417bcaefa73d060cf9b SHA1: 1b94d2e9108fb8fef5703f25e65f9070ec9d3183 SHA256: 94595A464E88E2E31A8EFAB1084604B199EF95BCB67CD03781F4539F9474FE4F Tamaño del archivo: 911.87 KB, 911872 bytes

MD5: f5e3867437b1b0e2757a06a02c9028bd SHA1: 6dae04f6dd859385db6d293c74a5eccbcd20519e SHA256: 0C89B372AB57DD8C97480D22F2727D832DAF59230472A1E5520C1B61C4371BE1 Tamaño del archivo: 351.66 KB, 351656 bytes

Atributos de ejecutables portátiles de Windows

i

Atributos de ejecutables portátiles de Windows

Esta sección enumera los atributos de archivo encontrados en muestras de la misma familia. Estos atributos se extraen de la especificación Windows PE (Portable Executable) de los archivos y de diversas marcas del sistema. Los atributos Portable Executable brindan a los investigadores de malware información sobre la funcionalidad del archivo, los detalles del ejecutable, la plataforma y el entorno de ejecución.

• File doesn't have "Rich" header
• File doesn't have exports table
• File has TLS information
• File is 64-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Iconos de archivo

i

Iconos de archivo

Esta sección muestra los recursos de iconos encontrados en muestras de la misma familia. El malware suele replicar iconos comúnmente asociados con software legítimo para engañar a los usuarios y hacerles creer que el malware es seguro.

Información de la versión de Windows PE

i

Información de la versión de Windows PE

Esta sección muestra los valores y atributos que se han configurado en la estructura de datos de información de versión de archivos de Windows para las muestras de esta familia. Para engañar a los usuarios, los ciberdelincuentes suelen añadir información de versión falsa que imita a software legítimo.

Nombre	Valor
Company Name	GSE
File Description	GSE
File Version	1, 0, 0, 2
Internal Name	GSE
Legal Copyright	Copyright (C) 2021 GSE
Original Filename	steam.exe
Product Name	GSE
Product Version	1, 0, 0, 2
Source Control I D	8563863

Firmas digitales

i

Firmas digitales

Esta sección enumera las firmas digitales adjuntas a las muestras de esta familia. Al analizar y verificar las firmas digitales, es importante confirmar que la autoridad raíz de la firma sea una entidad reconocida y confiable, y que su estado sea válido. El malware suele firmarse con firmas digitales autofirmadas no confiables (que un autor de malware puede crear fácilmente sin verificación). También puede firmarse con firmas legítimas con un estado inválido, o con firmas de autoridades raíz dudosas con nombres de firmantes falsos o engañosos.

Firmante	Raíz	Estado
GSE	GSE	Self Signed

Características de archivo

• fptable
• WriteProcessMemory
• x64

Información del bloque

i

Información del bloque

Durante el análisis, EnigmaSoft divide las muestras de archivos en bloques lógicos para su clasificación y comparación con otras muestras. Estos bloques se pueden usar para generar reglas de detección de malware y agrupar las muestras de archivos en familias según su código fuente, funcionalidad y otros atributos y características distintivas. Esta sección presenta un resumen de los datos de estos bloques, así como su clasificación por EnigmaSoft. También se muestra una representación visual de los datos de los bloques, cuando está disponible.

Bloques totales:	1,321
Bloqueos potencialmente maliciosos:	49
Bloqueos permitidos:	1,272
Bloques desconocidos:	0

Mapa visual

0 - Bloque seguro probable
? - Bloque desconocido
x - Bloqueo potencialmente malicioso

Familias similares

i

Familias similares

Esta sección enumera otras familias que comparten similitudes con esta familia, según el análisis de EnigmaSoft. Muchas familias de malware se crean a partir de los mismos kits de herramientas y utilizan las mismas técnicas de empaquetado y cifrado, pero extienden su funcionalidad de forma única. Familias similares también pueden compartir código fuente, atributos, iconos, subcomponentes, firmas digitales comprometidas o inválidas y características de red. Los investigadores aprovechan estas similitudes para clasificar rápidamente y de forma eficaz las muestras de archivos y ampliar las reglas de detección de malware.

• GameHack.GACM

Uso de la API de Windows

i

Uso de la API de Windows

Esta sección enumera las llamadas a la API de Windows que utilizan las muestras de esta familia. El análisis del uso de la API de Windows es una herramienta valiosa que puede ayudar a identificar actividades maliciosas, como el registro de pulsaciones de teclas, la escalada de privilegios de seguridad, el cifrado de datos, la exfiltración de datos, la interferencia con el software antivirus y la manipulación de solicitudes de red.

Categoría	API
Syscall Use	ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtQuerySecurityAttributesToken ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtTestAlert ntdll.dll!NtWriteFile UNKNOWN