PUP.Gametool.J

PUP.Gametool.J es un programa potencialmente no deseado (PUP) que afecta a ordenadores con Windows. Suele estar asociado a herramientas de lanzamiento o actualización automática de juegos, y aunque no se clasifica como altamente peligroso, su presencia puede resultar molesta e indeseada en el sistema del usuario. Los investigadores de seguridad han estado siguiendo este nombre de detección desde finales de 2022, y sigue apareciendo en los análisis con regularidad, lo que indica que aún circula activamente.

¿Qué hace PUP.Gametool.J?

PUP.Gametool.J se presenta como una utilidad legítima, generalmente empaquetada como un componente de actualización automática o de inicio vinculado a un cliente de juego. Una vez instalado, puede ejecutarse silenciosamente en segundo plano, realizando tareas de actualización o mantenimiento sin siempre indicar claramente qué está haciendo ni por qué. Al igual que muchos programas de la categoría de Programas Potencialmente No Deseados (PUP), puede venir incluido con otros componentes de software que el usuario nunca aceptó instalar explícitamente, y puede exhibir comportamientos típicos de esta categoría, como ejecutarse automáticamente al iniciar el sistema, comunicarse a través de la red o iniciar procesos adicionales sin una interacción clara del usuario. No es raro que estas herramientas utilicen funciones del sistema asociadas con la gestión de procesos, lo que a veces puede dificultar que un usuario promedio las identifique o elimine manualmente.

Cómo llega a los ordenadores

Como suele ocurrir con los programas potencialmente no deseados (PUP), PUP.Gametool.J no suele llegar mediante una descarga directa y deliberada de malware. En cambio, tiende a venir incluido con otros instaladores de software, especialmente aquellos relacionados con herramientas de juegos, lanzadores o utilidades de actualización automática. Los usuarios pueden encontrarlo tras descargar software de sitios web no oficiales o de terceros, redes P2P o paquetes de instalación que incluyen componentes adicionales preseleccionados. Dado que las pantallas de instalación de software incluido suelen ocultar complementos opcionales en opciones de configuración "personalizada" o "avanzada", muchos usuarios terminan instalando dichos programas sin darse cuenta.

Riesgos para el usuario

Con un nivel de peligro bajo en una escala de riesgo típica, PUP.Gametool.J no se considera una amenaza grave en comparación con malware de alto riesgo como el ransomware o el spyware. Sin embargo, los PUP en general pueden generar preocupaciones reales. Estas pueden incluir procesos en segundo plano no deseados que consumen recursos del sistema, actividad de red inesperada, cambios en el comportamiento del sistema sin el consentimiento explícito del usuario y la instalación de componentes adicionales no deseados. Dado que este archivo carece de firma digital, verificar su legitimidad es más difícil, lo que añade incertidumbre sobre su origen y propósito.

Signos de infección

Los usuarios pueden notar un programa ejecutándose en segundo plano que no recuerdan haber instalado, a menudo relacionado con actualizaciones de juegos o funciones del lanzador. Otros indicios típicos de esta categoría incluyen la aparición de procesos inesperados en el Administrador de tareas, entradas desconocidas en los programas de inicio, mayor actividad de red en segundo plano o la aparición de archivos y rastros relacionados en las carpetas del sistema sin una explicación clara.

Cómo mantenerse protegido

Para reducir el riesgo de encontrar programas como PUP.Gametool.J, descarga software solo de fuentes oficiales o de confianza y evita los portales de descarga de terceros que redistribuyen instaladores. Elige siempre las opciones de instalación "personalizada" o "avanzada" para poder revisar y deseleccionar cualquier componente adicional antes de instalarlo. Mantén actualizados tu sistema operativo y tu software de seguridad, y revisa periódicamente los programas instalados y los elementos de inicio para detectar cualquier programa desconocido. Realizar análisis periódicos del sistema con un software de seguridad de confianza también puede ayudar a detectar y eliminar programas no deseados antes de que causen más problemas.

Reporte de análisis

Información general

Apellido:	PUP.Gametool.J
Estado de la firma:	No Signature

Muestras conocidas

i

Muestras conocidas

Esta sección enumera otras muestras de archivos que se cree que están asociadas con esta familia.

MD5: fa7bbfa1ff157a0bf9b27058c83e0bb8 SHA1: a7be2076fd77ee3bbe83c625a850729eab7e14b6 SHA256: D8CE8634D4F8467F25F4E4D4DE58CA828AE4A979A7A3D1D5C030E6A2C3A5E400 Tamaño del archivo: 1.88 MB, 1877504 bytes

Atributos de ejecutables portátiles de Windows

i

Atributos de ejecutables portátiles de Windows

Esta sección enumera los atributos de archivo encontrados en muestras de la misma familia. Estos atributos se extraen de la especificación Windows PE (Portable Executable) de los archivos y de diversas marcas del sistema. Los atributos Portable Executable brindan a los investigadores de malware información sobre la funcionalidad del archivo, los detalles del ejecutable, la plataforma y el entorno de ejecución.

• File doesn't have "Rich" header
• File doesn't have exports table
• File doesn't have security information
• File is .NET application
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Iconos de archivo

i

Iconos de archivo

Esta sección muestra los recursos de iconos encontrados en muestras de la misma familia. El malware suele replicar iconos comúnmente asociados con software legítimo para engañar a los usuarios y hacerles creer que el malware es seguro.

Información de la versión de Windows PE

i

Información de la versión de Windows PE

Esta sección muestra los valores y atributos que se han configurado en la estructura de datos de información de versión de archivos de Windows para las muestras de esta familia. Para engañar a los usuarios, los ciberdelincuentes suelen añadir información de versión falsa que imita a software legítimo.

Nombre	Valor
Assembly Version	1.0.0.0
Comments	Võ Lâm Truyền Kỳ - Auto Update Launcher
Company Name	JX Tinh Thien Ha
File Description	Autoupdate
File Version	1.0.0.0
Internal Name	Autoupdate.exe
Legal Copyright	Copyright © 2021
Original Filename	Autoupdate.exe
Product Name	Autoupdate
Product Version	1.0.0.0

Características de archivo

• .NET
• HighEntropy
• x86

Información del bloque

i

Información del bloque

Durante el análisis, EnigmaSoft divide las muestras de archivos en bloques lógicos para su clasificación y comparación con otras muestras. Estos bloques se pueden usar para generar reglas de detección de malware y agrupar las muestras de archivos en familias según su código fuente, funcionalidad y otros atributos y características distintivas. Esta sección presenta un resumen de los datos de estos bloques, así como su clasificación por EnigmaSoft. También se muestra una representación visual de los datos de los bloques, cuando está disponible.

Bloques totales:	166
Bloqueos potencialmente maliciosos:	19
Bloqueos permitidos:	106
Bloques desconocidos:	41

Mapa visual

0 0 0 0 ? ? ? x ? x x ? ? ? ? ? 0 0 0 0 0 0 0 0 ? 0 0 ? ? ? 0 0 0 ? ? ? ? ? 0 ? ? ? ? ? ? ? 0 x x 0 0 x 0 0 ? 0 0 ? ? ? ? ? 0 ? 0 x ? 0 x x x ? 0 x x x 0 ? x x x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x x x ? ? ? ? ? 0 ?

0 - Bloque seguro probable
? - Bloque desconocido
x - Bloqueo potencialmente malicioso

Archivos modificados

i

Archivos modificados

Esta sección enumera los archivos que fueron creados, modificados, movidos o eliminados por muestras de esta familia. La actividad del sistema de archivos puede proporcionar información valiosa sobre cómo funciona el malware en el sistema operativo.

Archivo	Atributos
\device\namedpipe\gmdasllogger	Generic Write,Read Attributes
c:\windows\appcompat\programs\amcache.hve	Read Data,Read Control,Write Data
c:\windows\appcompat\programs\amcache.hve	Write Attributes

Modificaciones del registro

i

Modificaciones del registro

Esta sección enumera las claves y valores del registro que fueron creados, modificados o eliminados por muestras de esta familia. La actividad del Registro de Windows puede proporcionar información valiosa sobre la funcionalidad del malware. Además, el malware suele crear valores en el registro para iniciarse automáticamente y persistir indefinidamente después de que la infección inicial haya comprometido el sistema.

Clave::Valor	Datos	Nombre de la API
HKLM\system\software\microsoft\tip\aggregateresults::data	隞̃蘁耀꧌-	RegNtPreCreateKey

Uso de la API de Windows

i

Uso de la API de Windows

Esta sección enumera las llamadas a la API de Windows que utilizan las muestras de esta familia. El análisis del uso de la API de Windows es una herramienta valiosa que puede ayudar a identificar actividades maliciosas, como el registro de pulsaciones de teclas, la escalada de privilegios de seguridad, el cifrado de datos, la exfiltración de datos, la interferencia con el software antivirus y la manipulación de solicitudes de red.

Categoría	API
Syscall Use	ntdll.dll!NtAccessCheck ntdll.dll!NtAdjustPrivilegesToken ntdll.dll!NtAlertThreadByThreadId ntdll.dll!NtAlpcConnectPort ntdll.dll!NtAlpcSendWaitReceivePort ntdll.dll!NtApphelpCacheControl ntdll.dll!NtAssociateWaitCompletionPacket ntdll.dll!NtClearEvent ntdll.dll!NtClose ntdll.dll!NtConnectPort Mostrar más ntdll.dll!NtCreateEvent ntdll.dll!NtCreateIoCompletion ntdll.dll!NtCreateKey ntdll.dll!NtCreateMutant ntdll.dll!NtCreateSection ntdll.dll!NtCreateSemaphore ntdll.dll!NtCreateTimer2 ntdll.dll!NtCreateWaitCompletionPacket ntdll.dll!NtCreateWorkerFactory ntdll.dll!NtDelayExecution ntdll.dll!NtDeleteValueKey ntdll.dll!NtDeviceIoControlFile ntdll.dll!NtDuplicateObject ntdll.dll!NtDuplicateToken ntdll.dll!NtEnumerateKey ntdll.dll!NtEnumerateValueKey ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtFsControlFile ntdll.dll!NtLoadKeyEx ntdll.dll!NtMapViewOfSection ntdll.dll!NtNotifyChangeKey ntdll.dll!NtOpenDirectoryObject ntdll.dll!NtOpenEvent ntdll.dll!NtOpenFile ntdll.dll!NtOpenKey ntdll.dll!NtOpenKeyEx ntdll.dll!NtOpenProcessToken ntdll.dll!NtOpenProcessTokenEx ntdll.dll!NtOpenSection ntdll.dll!NtOpenSemaphore ntdll.dll!NtOpenSymbolicLinkObject ntdll.dll!NtOpenThread ntdll.dll!NtOpenThreadToken ntdll.dll!NtOpenThreadTokenEx ntdll.dll!NtProtectVirtualMemory ntdll.dll!NtQueryAttributesFile ntdll.dll!NtQueryDefaultLocale ntdll.dll!NtQueryDirectoryFileEx ntdll.dll!NtQueryInformationFile ntdll.dll!NtQueryInformationProcess ntdll.dll!NtQueryInformationThread ntdll.dll!NtQueryInformationToken ntdll.dll!NtQueryKey ntdll.dll!NtQueryLicenseValue ntdll.dll!NtQueryPerformanceCounter ntdll.dll!NtQuerySecurityAttributesToken ntdll.dll!NtQuerySecurityObject ntdll.dll!NtQuerySymbolicLinkObject ntdll.dll!NtQuerySystemInformation ntdll.dll!NtQuerySystemInformationEx ntdll.dll!NtQueryValueKey ntdll.dll!NtQueryVirtualMemory ntdll.dll!NtQueryVolumeInformationFile ntdll.dll!NtQueryWnfStateData ntdll.dll!NtReadRequestData ntdll.dll!NtReadVirtualMemory ntdll.dll!NtReleaseMutant ntdll.dll!NtReleaseSemaphore ntdll.dll!NtReleaseWorkerFactoryWorker ntdll.dll!NtRequestWaitReplyPort ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationKey ntdll.dll!NtSetInformationProcess ntdll.dll!NtSetInformationThread ntdll.dll!NtSetInformationVirtualMemory ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtSubscribeWnfStateChange ntdll.dll!NtTestAlert ntdll.dll!NtTraceControl ntdll.dll!NtTraceEvent ntdll.dll!NtUnmapViewOfSection ntdll.dll!NtUnmapViewOfSectionEx ntdll.dll!NtWaitForAlertByThreadId ntdll.dll!NtWaitForSingleObject ntdll.dll!NtWaitForWorkViaWorkerFactory ntdll.dll!NtWaitLowEventPair ntdll.dll!NtWorkerFactoryWorkerReady ntdll.dll!NtWriteFile UNKNOWN
User Data Access	GetUserObjectInformation
Anti Debug	IsDebuggerPresent
Other Suspicious	AdjustTokenPrivileges
Process Manipulation Evasion	NtUnmapViewOfSection ReadProcessMemory
Process Shell Execute	CreateProcess
Encryption Used	BCryptOpenAlgorithmProvider

Ejecución de comandos de shell

i

Ejecución de comandos de shell

Esta sección enumera los comandos de la consola de Windows que ejecutan las muestras de esta familia. El malware suele utilizar los comandos de la consola de Windows con fines maliciosos, pudiendo emplearlos para elevar privilegios de seguridad, descargar y ejecutar otro malware, explotar vulnerabilidades, recopilar y extraer datos, y ocultar actividades maliciosas.

C:\Windows\Microsoft.NET\Framework64\v2.0.50727\\dw20.exe dw20.exe -x -s 896