트로이목.미터프리터.GB

Trojan.Meterpreter.GB는 Windows용 트로이 목마로, 위험도는 10점 만점에 8점입니다. 트로이 목마는 무해한 파일로 위장하거나 그 안에 숨어 있다가 컴퓨터에 침투한 후에는 조용히 실행됩니다. 피드 데이터에 따르면 이 악성코드는 2025년 10월 31일에 처음 발견되었고 2026년 11월 10일에 마지막으로 발견되었습니다.

위협이 하는 일

Meterpreter.GB는 몰래 설치되어 백그라운드에서 조용히 실행되면서 악성 기능을 수행합니다. 설명에 따르면 이 악성 프로그램은 감염된 시스템에 대한 해커의 완전한 제어권을 확보하고 파일을 몰래 삭제할 수 있다고 합니다.

이 이름은 원격 제어 구성 요소인 Meterpreter를 암시합니다. 하지만 이는 이름에서 추론할 수 있는 것이지, 피드 자체에서 확인된 사실은 아닙니다. 이러한 유형의 위협은 일반적으로 공격자가 명령을 실행하고, 파일을 탐색하고, 시스템에서 발생하는 활동을 감시할 수 있도록 합니다. 따라서 이 탐지 정보가 감지된 시스템은 다른 사람이 제어하고 있을 가능성이 있으므로 주의해야 합니다.

관찰된 기술적 특징

• 이 샘플은 엔트로피가 높은 32비트 Windows DLL입니다. 내보내기 테이블은 있지만 디지털 서명, 리소스, 디버그 정보 및 보안 정보는 없습니다.
• 이 프로그램은 패키지화되어 있지 않으며, .NET 애플리케이션이 아닌 네이티브 애플리케이션입니다.
• 이 프로그램은 ntdll.dll을 통해 저수준 시스템 호출을 사용하는데, 이는 운영 체제에 매우 가깝게 작동하는 방식입니다.
• 이 코드는 프로세스 조작 및 회피 분석에서 그룹화된 NtUnmapViewOfSection을 사용합니다. 또한 안티 디버깅 검사 그룹화된 NtQuerySystemInformation도 사용합니다.
• 이 프로그램은 CreateProcess를 사용하여 새로운 프로세스를 시작합니다. 관찰된 실행 사례에서는 사용자의 다운로드 폴더에 있는 Windows의 rundll32 유틸리티를 통해 실행되었습니다. DLL은 자체적으로 실행될 수 없기 때문에 이러한 방식으로 악성 DLL을 실행하는 것이 일반적입니다.

일반적으로 컴퓨터에 침투하는 경로

피드에 따르면 Meterpreter.GB는 일반적으로 다음과 같은 방식으로 접속됩니다.

• 시스템 취약점과 보안 결함을 악용함으로써;
• 악성 웹사이트에서 소프트웨어를 다운로드하는 것을 통해;
• 출처가 불분명한 이메일 첨부파일, 주로 .exe, .pif, .avi, 심지어 .jpg 파일을 통해 감염될 수 있습니다.

파일 형식을 위장하는 것은 흔한 수법입니다. 사진이나 동영상처럼 보이는 파일이 실제로는 프로그램일 수 있습니다.

사용자에게 미치는 위험

• 제어권 상실: 공격자가 컴퓨터를 장악할 수 있습니다.
• 파일 손상: 파일이 사용자 모르게 삭제될 수 있습니다.
• 개인정보 노출: 원격 접속 트로이목마는 일반적으로 개인 문서, 저장된 로그인 정보 및 기타 민감한 데이터에 대한 접근을 허용합니다. 하지만 해당 탐지 건에 대해서는 이러한 사실이 확인되지 않았습니다.
• 추가 감염: 원격 제어 기능을 갖춘 트로이 목마는 일반적으로 더 많은 악성 소프트웨어를 유포하는 데 사용될 수 있습니다.

감염 징후

이 위협은 은밀하게 진행되도록 설계되었기 때문에 뚜렷한 증상이 나타나지 않을 수 있습니다. 아래 징후들은 해당 유형의 전형적인 징후이지만, 이번 탐지에서 확인된 것은 아닙니다.

• 아무런 작업을 하지 않을 때 예기치 않은 속도 저하 또는 CPU나 네트워크 사용량 급증;
• 설명 없이 사라지거나 변경되는 파일;
• 작업 관리자에서 익숙하지 않은 rundll32 활동 또는 알 수 없는 프로세스가 감지되었습니다.
• 보안 설정이 저절로 변경되거나 보안 도구가 실행되지 않는 경우;
• 최근에 다운로드했거나 이메일로 받은 파일이 있는데, 열어봐도 아무런 반응이 없는 것 같습니다.

자신을 보호하는 방법

1. Windows와 소프트웨어를 최신 상태로 유지하세요. 취약점을 악용하는 것이 주요 감염 경로이므로 패치가 중요합니다.
2. 이메일 첨부파일에 주의하세요. 모르는 발신자가 보낸 파일, 특히 .exe 또는 .pif 파일이나 실행을 요구하는 "사진" 또는 "동영상" 파일은 열지 마세요.
3. 소프트웨어는 반드시 공식 출처에서만 다운로드하십시오. 유료 프로그램의 불법 복제본이나 무료 버전을 제공하는 사이트는 피하십시오.
4. Windows에서 파일 확장자를 표시하면 이미지나 비디오 이름 뒤에 숨겨진 프로그램을 찾을 수 있습니다.
5. 신뢰할 수 있고 최신 버전의 악성코드 방지 도구를 사용하여 정기적으로 전체 검사를 실행하십시오.
6. 일상적인 업무에는 표준 사용자 계정을 사용하고 , 중요한 파일은 오프라인이나 별도의 저장 장치에 백업해 두십시오.

컴퓨터가 감염된 것으로 의심되면 인터넷 연결을 끊고 최신 악성코드 제거 프로그램을 사용하여 전체 검사를 실행하세요. 이와 같은 트로이 목마는 원격 접속을 허용할 수 있으므로, 검사 후에는 다른 안전한 기기를 사용하여 중요한 계정의 비밀번호를 변경하십시오.

분석 보고서

일반 정보

성씨:	Trojan.Meterpreter.GB
서명 상태:	No Signature

알려진 샘플

i

알려진 샘플

이 섹션에는 이 가족과 연관된 것으로 추정되는 다른 파일 샘플이 나열되어 있습니다.

MD5: 93c53b8610228e74aaf31560f55d0d00 샤1: 078677fc081dee45c757b750bf9fad593ebac5de 샤256: 11A5CFED2DC4EF5C197BEBB8E692F7F0EB43BB19216E7CC8688F3D29FA0F716F 파일 크기: 93.18 KB,93184 바이트

Windows 휴대용 실행 파일 속성

i

Windows 휴대용 실행 파일 속성

이 섹션에서는 해당 패밀리 샘플에서 발견된 파일 속성을 나열합니다. 이러한 속성은 파일의 Windows PE(Portable Executable) 사양 및 다양한 시스템 플래그에서 추출됩니다. 휴대용 실행 파일 속성은 악성코드 연구원에게 파일의 기능, 실행 세부 정보, 플랫폼 및 런타임 환경에 대한 정보를 제공합니다.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have resources
• File doesn't have security information
• File has exports table
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed

Show 2 more

• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

파일 특성

• dll
• HighEntropy
• x86

블록 정보

i

블록 정보

EnigmaSoft는 분석 과정에서 파일 샘플을 논리적 블록으로 분할하여 다른 샘플과 분류 및 비교합니다. 이러한 블록은 악성코드 탐지 규칙을 생성하고, 공유 소스 코드, 기능 및 기타 특징적인 속성을 기반으로 파일 샘플을 패밀리로 그룹화하는 데 사용될 수 있습니다. 이 섹션에서는 해당 블록 데이터의 요약과 EnigmaSoft의 분류 결과를 제공합니다. 가능한 경우 블록 데이터의 시각적 표현도 함께 표시됩니다.

총 블록 수:	340
잠재적으로 악의적인 차단:	4
허용된 블록:	317
알 수 없는 블록:	19

시각적 지도

0 - 안전 블록 가능성 높음
? - 알 수 없는 블록
x - 잠재적으로 악의적인 차단

Windows API 사용법

i

Windows API 사용법

이 섹션에서는 이 제품군의 샘플에서 사용되는 Windows API 호출 목록을 제공합니다. Windows API 사용 분석은 키로깅, 보안 권한 상승, 데이터 암호화, 데이터 유출, 바이러스 백신 소프트웨어 방해, 네트워크 요청 조작과 같은 악의적인 활동을 식별하는 데 유용한 도구입니다.

범주	API
Syscall Use	ntdll.dll!NtAlpcSendWaitReceivePort ntdll.dll!NtClose ntdll.dll!NtCreateFile ntdll.dll!NtCreateSection ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtMapViewOfSection ntdll.dll!NtOpenFile ntdll.dll!NtOpenKey ntdll.dll!NtOpenProcessToken ntdll.dll!NtQueryAttributesFile Show 18 more ntdll.dll!NtQueryDebugFilterState ntdll.dll!NtQueryInformationProcess ntdll.dll!NtQueryInformationToken ntdll.dll!NtQuerySystemInformationEx ntdll.dll!NtQueryValueKey ntdll.dll!NtQueryVirtualMemory ntdll.dll!NtQueryVolumeInformationFile ntdll.dll!NtReadFile ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationFile ntdll.dll!NtSetInformationProcess ntdll.dll!NtSetInformationVirtualMemory ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtTestAlert ntdll.dll!NtTraceControl ntdll.dll!NtUnmapViewOfSection ntdll.dll!NtWaitForSingleObject ntdll.dll!NtWriteFile
Process Manipulation Evasion	NtUnmapViewOfSection
Process Shell Execute	CreateProcess
Anti Debug	NtQuerySystemInformation

셸 명령 실행

i

셸 명령 실행

이 섹션에서는 이 제품군에 속하는 샘플에서 실행되는 Windows 셸 명령을 나열합니다. Windows 셸 명령은 악성코드가 악의적인 목적으로 자주 악용하며, 보안 권한 상승, 다른 악성코드 다운로드 및 실행, 취약점 악용, 데이터 수집 및 유출, 악성 활동 은폐 등에 사용될 수 있습니다.

C:\WINDOWS\SysWOW64\rundll32.exe C:\WINDOWS\system32\rundll32.exe c:\users\user\downloads\078677fc081dee45c757b750bf9fad593ebac5de_0000093184.,LiQMAxHB