Trojan.Meterpreter.GB

Trojan.Meterpreter.GB è un rilevamento di Trojan per Windows con un livello di pericolosità pari a 8 su 10. I Trojan si presentano come file innocui o si nascondono al loro interno e, una volta infettato il computer, si attivano silenziosamente. Secondo i dati del feed, questo rilevamento è stato effettuato per la prima volta il 31/10/2025 e per l'ultima volta il 10/11/2026.

Cosa fa la minaccia

Meterpreter.GB si installa in modo furtivo e viene eseguito silenziosamente in background, dove svolge funzioni dannose. La descrizione afferma che potrebbe dare agli hacker il controllo completo di un sistema infetto e che potrebbe eliminare file di nascosto.

Il nome rimanda a Meterpreter, un componente per il controllo remoto. Questa è un'inferenza basata sul nome, non un dato di fatto proveniente dal feed. Le minacce di questo tipo consentono in genere a un aggressore di eseguire comandi, navigare tra i file e monitorare le attività sul sistema. Qualsiasi sistema con questo tipo di rilevamento dovrebbe essere considerato potenzialmente sotto il controllo di terzi.

Caratteristiche tecniche osservate

• Il campione è una DLL di Windows a 32 bit ad alta entropia. Possiede una tabella di esportazione, ma non una firma digitale, né risorse, né informazioni di debug, né informazioni di sicurezza.
• Non è impacchettato ed è un'applicazione nativa, non un'applicazione .NET.
• Utilizza chiamate di sistema di basso livello tramite ntdll.dll, un metodo che consente di lavorare a stretto contatto con il sistema operativo.
• Utilizza NtUnmapViewOfSection, che l'analisi raggruppa sotto la categoria di manipolazione ed elusione dei processi. Utilizza anche NtQuerySystemInformation, che è raggruppato sotto la categoria di controlli anti-debugging.
• Avvia nuovi processi con CreateProcess. Nell'esecuzione osservata, è stato avviato tramite l'utilità rundll32 di Windows dalla cartella Download dell'utente. Questo è un metodo comune per eseguire una DLL dannosa, poiché una DLL non può avviarsi autonomamente.

Come di solito si insinua nei computer

Il feed indica che Meterpreter.GB arriva in genere nei seguenti modi:

• sfruttando le vulnerabilità del sistema e le falle di sicurezza;
• attraverso il download di software da siti web dannosi;
• tramite allegati di posta elettronica provenienti da fonti non attendibili, solitamente file .exe, .pif, .avi e persino .jpg.

I tipi di file camuffati sono un trucco tipico. Un file che sembra un'immagine o un video potrebbe in realtà essere un programma.

Rischi per l’utente

• Perdita di controllo: un utente malintenzionato potrebbe assumere il controllo del computer.
• Danneggiamento dei file: i file potrebbero essere eliminati a tua insaputa.
• Violazione della privacy: i trojan ad accesso remoto in genere consentono l'accesso a documenti personali, credenziali di accesso salvate e altri dati sensibili. Il feed non conferma questa ipotesi per questo specifico rilevamento.
• Ulteriore infezione: in genere, un Trojan con controllo remoto può essere utilizzato per introdurre altro malware.

Segni di infezione

La minaccia è progettata per rimanere nascosta, quindi potrebbero non esserci sintomi evidenti. Questi segnali sono tipici di questa categoria e non sono confermati per questo rilevamento:

• Rallentamenti inaspettati o elevata attività della CPU o della rete quando non stai facendo nulla;
• file che scompaiono o cambiano senza spiegazione;
• Attività rundll32 sconosciuta o processi sconosciuti in Gestione attività;
• Le impostazioni di sicurezza si modificano automaticamente o gli strumenti di sicurezza non si avviano;
• Un file scaricato o ricevuto via email di recente che sembrava non fare nulla quando lo hai aperto.

Come proteggersi

1. Mantieni Windows e i tuoi software aggiornati. Lo sfruttamento delle vulnerabilità è una delle principali vie di infezione, quindi le patch sono fondamentali.
2. Fai attenzione agli allegati email. Non aprire file provenienti da mittenti sconosciuti, soprattutto file .exe o .pif, o qualsiasi "immagine" o "video" che richieda di essere eseguito.
3. Scarica software solo da fonti ufficiali. Evita i siti che offrono versioni pirata o gratuite di programmi a pagamento.
4. Visualizza le estensioni dei file in Windows per individuare un programma nascosto dietro il nome di un'immagine o di un video.
5. Utilizza un programma antimalware affidabile e aggiornato ed esegui scansioni complete regolarmente.
6. Utilizza un account utente standard per il lavoro quotidiano e conserva le copie di backup dei file importanti offline o su un supporto di archiviazione separato.

Se sospetti che il tuo computer sia infetto, disconnettilo da Internet ed esegui una scansione completa con un programma antimalware aggiornato. Poiché un Trojan di questo tipo potrebbe consentire a qualcuno di accedere da remoto, cambia subito le password dei tuoi account importanti utilizzando un dispositivo diverso e non infetto.

Rapporto di analisi

Informazione Generale

Cognome:	Trojan.Meterpreter.GB
Stato della firma:	No Signature

Campioni noti

i

Campioni noti

Questa sezione elenca altri campioni di file che si ritiene siano associati a questa famiglia.

MD5: 93c53b8610228e74aaf31560f55d0d00 SHA1: 078677fc081dee45c757b750bf9fad593ebac5de SHA256: 11A5CFED2DC4EF5C197BEBB8E692F7F0EB43BB19216E7CC8688F3D29FA0F716F Dimensione del file: 93.18 KB.93184 byte

Attributi di Windows Portable Executable

i

Attributi di Windows Portable Executable

Questa sezione elenca gli attributi dei file trovati all'interno dei campioni della famiglia. Questi attributi vengono estratti dalle specifiche Windows PE (Portable Executable) dei file e da vari flag di sistema. Gli attributi Portable Executable forniscono ai ricercatori di malware informazioni sulla funzionalità di un file, sui dettagli dell'eseguibile, sulla piattaforma e sull'ambiente di runtime.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have resources
• File doesn't have security information
• File has exports table
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed

Show 2 more

• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Caratteristiche dei file

• dll
• HighEntropy
• x86

Informazioni sul blocco

i

Informazioni sul blocco

Durante l'analisi, EnigmaSoft suddivide i campioni di file in blocchi logici per la classificazione e il confronto con altri campioni. I blocchi possono essere utilizzati per generare regole di rilevamento del malware e per raggruppare i campioni di file in famiglie in base al codice sorgente condiviso, alla funzionalità e ad altri attributi e caratteristiche distintive. Questa sezione elenca un riepilogo dei dati dei blocchi, nonché la loro classificazione da parte di EnigmaSoft. Viene inoltre visualizzata una rappresentazione grafica dei dati dei blocchi, ove disponibile.

Blocchi totali:	340
Blocchi potenzialmente dannosi:	4
Blocchi consentiti:	317
Blocchi sconosciuti:	19

Mappa visiva

0 - Probabile blocco di sicurezza
? - Blocco sconosciuto
x - Blocco potenzialmente dannoso

Utilizzo delle API di Windows

i

Utilizzo delle API di Windows

Questa sezione elenca le chiamate API di Windows utilizzate dagli esempi di questa famiglia. L'analisi dell'utilizzo delle API di Windows è uno strumento prezioso che può aiutare a identificare attività dannose, come keylogging, escalation dei privilegi di sicurezza, crittografia dei dati, esfiltrazione di dati, interferenza con software antivirus e manipolazione delle richieste di rete.

Categoria	API
Syscall Use	ntdll.dll!NtAlpcSendWaitReceivePort ntdll.dll!NtClose ntdll.dll!NtCreateFile ntdll.dll!NtCreateSection ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtMapViewOfSection ntdll.dll!NtOpenFile ntdll.dll!NtOpenKey ntdll.dll!NtOpenProcessToken ntdll.dll!NtQueryAttributesFile Show 18 more ntdll.dll!NtQueryDebugFilterState ntdll.dll!NtQueryInformationProcess ntdll.dll!NtQueryInformationToken ntdll.dll!NtQuerySystemInformationEx ntdll.dll!NtQueryValueKey ntdll.dll!NtQueryVirtualMemory ntdll.dll!NtQueryVolumeInformationFile ntdll.dll!NtReadFile ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationFile ntdll.dll!NtSetInformationProcess ntdll.dll!NtSetInformationVirtualMemory ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtTestAlert ntdll.dll!NtTraceControl ntdll.dll!NtUnmapViewOfSection ntdll.dll!NtWaitForSingleObject ntdll.dll!NtWriteFile
Process Manipulation Evasion	NtUnmapViewOfSection
Process Shell Execute	CreateProcess
Anti Debug	NtQuerySystemInformation

Esecuzione di comandi shell

i

Esecuzione di comandi shell

Questa sezione elenca i comandi della shell di Windows eseguiti dai campioni di questa famiglia. I comandi della shell di Windows vengono spesso sfruttati dai malware per scopi illeciti e possono essere utilizzati per elevare i privilegi di sicurezza, scaricare e avviare altri malware, sfruttare le vulnerabilità, raccogliere ed esfiltrare dati e nascondere attività dannose.

C:\WINDOWS\SysWOW64\rundll32.exe C:\WINDOWS\system32\rundll32.exe c:\users\user\downloads\078677fc081dee45c757b750bf9fad593ebac5de_0000093184.,LiQMAxHB