Trojan.Metasploit.Gen.ET

Trojan.Metasploit.Gen.ET è un rilevamento generico per un Trojan che prende di mira i computer Windows. Ha un livello di pericolosità pari a 8 su 10. È stato rilevato per la prima volta il 23/08/2026 e per l'ultima volta il 28/08/2026. Il feed registra finora un solo rilevamento, quindi i dati sono limitati. I dettagli seguenti sono importanti, soprattutto se hai installato o aggiornato di recente un launcher di giochi.

Cosa fa la minaccia

Secondo quanto riportato, questo Trojan si installa furtivamente e viene eseguito silenziosamente in background, svolgendo funzioni dannose senza che l'utente se ne accorga. Potrebbe consentire agli aggressori di ottenere il controllo completo del sistema infetto. Trojan di questo tipo vengono tipicamente utilizzati per eseguire comandi da remoto, scaricare ulteriore malware o spiare l'utente. Il nome suggerisce un collegamento con il framework Metasploit, un toolkit per il penetration testing. Rilevamenti generici con questo tipo di nome sono in genere utilizzati per payload creati con tali strumenti, ma il feed non conferma esattamente cosa faccia questo campione dopo l'avvio.

Ecco come appare il file analizzato

• Si tratta di un eseguibile GUI nativo a 64 bit (non .NET) per Windows, non compresso.
• Le informazioni sulla versione lo descrivono come "HoYoPlay" versione 1.6.0.227 di Cognosphere.
• La catena di firme digitali indica COGNOSPHERE PTE. LTD. e una radice DigiCert, ma lo stato della firma è "Hash Mismatch" .
• Su 3.312 blocchi analizzati, 12 sono stati segnalati come potenzialmente dannosi, 53 erano sconosciuti e 3.247 sono stati inseriti nella lista bianca.
• Utilizza chiamate di sistema di basso livello tramite ntdll.dll e richiama OutputDebugString, un'API tipicamente associata ai controlli anti-debugging.

Un errore di hash significa che il contenuto del file non corrisponde a ciò per cui è stata creata la firma. Questo accade in genere quando un file è stato modificato dopo la firma o è danneggiato. Il feed non specifica quale delle due situazioni si applichi in questo caso. È anche possibile che il rilevamento sia un falso positivo, poiché il file si presenta come un'applicazione nota. Trattate il file con cautela finché non lo avrete verificato.

Come di solito si insinua nei computer

Secondo le informazioni disponibili, questo Trojan si diffonde in genere sfruttando vulnerabilità e falle di sicurezza del sistema. Può anche arrivare tramite download di software da siti web dannosi o tramite allegati e-mail provenienti da fonti non attendibili. Gli allegati sono solitamente file .exe, .pif, .avi o persino .jpg. Fingere di essere un'applicazione popolare, come fa questo file con i dettagli della sua versione, è un trucco comune. Gli utenti scaricano quello che sembra un normale launcher o un aggiornamento da una fonte non ufficiale.

Rischi per l’utente

• Controllo remoto completo del tuo PC da parte di un utente malintenzionato.
• Furto di password, file personali e dati degli account (tipico dei Trojan con accesso remoto).
• Installazione di malware aggiuntivo.
• Perdita della privacy e possibili danni finanziari qualora i conti bancari o di gioco vengano esposti.

Segni di infezione

Il feed segnala che il Trojan viene eseguito silenziosamente, quindi potrebbero non esserci sintomi evidenti. I tipici segnali di allarme per questo tipo di minaccia includono:

• Rallentamenti inspiegabili o elevata attività della CPU o della rete.
• Processi sconosciuti in esecuzione in Gestione attività.
• Il software di sicurezza viene disabilitato o le impostazioni vengono modificate automaticamente.
• Accessi o acquisti sui tuoi account che non hai effettuato.
• Un launcher o un'applicazione che si comporta in modo anomalo, oppure un avviso che la sua firma digitale non è valida.

Come proteggersi

1. Scarica il software esclusivamente dal sito web ufficiale del produttore o da un negozio affidabile, mai da mirror di terze parti o tramite link presenti nei messaggi.
2. Non aprire allegati inaspettati, anche se sembrano immagini o video.
3. Mantieni Windows e tutti i programmi aggiornati per chiudere le vulnerabilità sfruttate da questi Trojan.
4. Controlla la firma digitale di un file nelle sue proprietà. Se Windows segnala una firma non valida o non corrispondente, non eseguirlo.
5. Se ricevi questo rilevamento, disconnettiti da Internet, esegui una scansione completa con uno strumento di sicurezza aggiornato e affidabile e metti in quarantena o rimuovi tutto ciò che viene rilevato.
6. Se il file potrebbe essere stato eseguito sul tuo PC, cambia le password importanti da un dispositivo pulito e abilita l'autenticazione a due fattori.
7. Se sospetti che il file sia un programma legittimo segnalato per errore, reinstalla l'applicazione dalla fonte ufficiale ed esegui una nuova scansione.

Dato l'elevato livello di pericolo e la mancata corrispondenza della firma, è più prudente presumere che il file non sia attendibile fino a quando non sarà stato verificato.

Rapporto di analisi

Informazione Generale

Cognome:	Trojan.Metasploit.Gen.ET
Stato della firma:	Hash Mismatch

Campioni noti

i

Campioni noti

Questa sezione elenca altri campioni di file che si ritiene siano associati a questa famiglia.

MD5: 6c444d2977717c00b3dc14b43c35fb2c SHA1: 29082374d2ee64f310252634a07c0399e7685494 SHA256: 72DD52C220607D2C98E53142AA234D3661AAAF672CECA68492ADF868545F1B79 Dimensione del file: 971.46 KB.971456 byte

Attributi di Windows Portable Executable

i

Attributi di Windows Portable Executable

Questa sezione elenca gli attributi dei file trovati all'interno dei campioni della famiglia. Questi attributi vengono estratti dalle specifiche Windows PE (Portable Executable) dei file e da vari flag di sistema. Gli attributi Portable Executable forniscono ai ricercatori di malware informazioni sulla funzionalità di un file, sui dettagli dell'eseguibile, sulla piattaforma e sull'ambiente di runtime.

• File doesn't have "Rich" header
• File doesn't have exports table
• File is 64-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Informazioni sulla versione di Windows PE

i

Informazioni sulla versione di Windows PE

Questa sezione mostra i valori e gli attributi impostati nella struttura dati delle informazioni sulla versione dei file di Windows per i campioni di questa famiglia. Per ingannare gli utenti, gli autori di malware spesso aggiungono informazioni di versione false che imitano software legittimi.

Nome	Valore
Company Name	Cognosphere
File Description	HoYoPlay
File Version	1.6.0.227
Legal Copyright	Copyright © COGNOSPHERE. All Rights Reserved.
Product Name	HoYoPlay
Product Version	1.6.0.227

Firme digitali

i

Firme digitali

Questa sezione elenca le firme digitali associate ai campioni appartenenti a questa famiglia. Durante l'analisi e la verifica delle firme digitali, è importante accertarsi che l'autorità radice della firma sia un'entità nota e affidabile e che lo stato della firma sia valido. Il malware è spesso firmato con firme digitali "autofirmate" non affidabili (che possono essere create facilmente dall'autore del malware senza alcuna verifica). Il malware può anche essere firmato con firme legittime che presentano uno stato non valido, oppure con firme provenienti da autorità radice discutibili con nomi di "firmatario" falsi o fuorvianti.

Firmatario	Radice	Stato
COGNOSPHERE PTE. LTD.	DigiCert Trusted Root G4	Hash Mismatch
COGNOSPHERE PTE. LTD.	DigiCert Trusted Root G4	Hash Mismatch

Caratteristiche dei file

• x64

Informazioni sul blocco

i

Informazioni sul blocco

Durante l'analisi, EnigmaSoft suddivide i campioni di file in blocchi logici per la classificazione e il confronto con altri campioni. I blocchi possono essere utilizzati per generare regole di rilevamento del malware e per raggruppare i campioni di file in famiglie in base al codice sorgente condiviso, alla funzionalità e ad altri attributi e caratteristiche distintive. Questa sezione elenca un riepilogo dei dati dei blocchi, nonché la loro classificazione da parte di EnigmaSoft. Viene inoltre visualizzata una rappresentazione grafica dei dati dei blocchi, ove disponibile.

Blocchi totali:	3,312
Blocchi potenzialmente dannosi:	12
Blocchi consentiti:	3,247
Blocchi sconosciuti:	53

Mappa visiva

... Dati troncati

0 - Probabile blocco di sicurezza
? - Blocco sconosciuto
x - Blocco potenzialmente dannoso

Famiglie simili

i

Famiglie simili

Questa sezione elenca altre famiglie che presentano similitudini con questa famiglia, sulla base dell'analisi di EnigmaSoft. Molte famiglie di malware sono create a partire dagli stessi toolkit e utilizzano le stesse tecniche di compressione e crittografia, ma ne estendono le funzionalità in modo univoco. Famiglie simili possono anche condividere codice sorgente, attributi, icone, sottocomponenti, firme digitali compromesse e/o non valide e caratteristiche di rete. I ricercatori sfruttano queste somiglianze per analizzare rapidamente ed efficacemente i campioni di file ed estendere le regole di rilevamento del malware.

• Trojan.Metasploit.Gen.ET

Utilizzo delle API di Windows

i

Utilizzo delle API di Windows

Questa sezione elenca le chiamate API di Windows utilizzate dagli esempi di questa famiglia. L'analisi dell'utilizzo delle API di Windows è uno strumento prezioso che può aiutare a identificare attività dannose, come keylogging, escalation dei privilegi di sicurezza, crittografia dei dati, esfiltrazione di dati, interferenza con software antivirus e manipolazione delle richieste di rete.

Categoria	API
Syscall Use	ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtQuerySecurityAttributesToken ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtTestAlert ntdll.dll!NtWriteFile UNKNOWN
Anti Debug	OutputDebugString