Trojan.Metasploit.Gen.ET

Trojan.Metasploit.Gen.ET é uma detecção genérica para um Trojan que ataca computadores Windows. Possui um nível de perigo de 8 em 10. Foi detectado pela primeira vez em 23/08/2026 e pela última vez em 28/08/2026. O feed registra apenas uma detecção até o momento, portanto, os dados são limitados. Os detalhes abaixo são importantes, especialmente se você instalou ou atualizou recentemente um iniciador de jogos.

O que a ameaça faz

De acordo com o feed, este Trojan se instala furtivamente e roda silenciosamente em segundo plano, executando funções maliciosas sem que o usuário perceba. Ele pode permitir que invasores obtenham controle total sobre o sistema infectado. Trojans como este são normalmente usados para executar comandos remotamente, baixar outros malwares ou espionar o usuário. O nome sugere uma ligação com o framework Metasploit, um conjunto de ferramentas para testes de penetração. Detecções genéricas com esse tipo de nome são normalmente usadas para payloads criados com essas ferramentas, mas o feed não confirma exatamente o que esta amostra faz após a execução.

Qual é a aparência do arquivo analisado?

• Trata-se de um executável GUI nativo (não .NET) de 64 bits para Windows, que não está compactado.
• As informações da versão o descrevem como "HoYoPlay" versão 1.6.0.227 da Cognosphere.
• A cadeia de assinatura digital inclui COGNOSPHERE PTE. LTD. e uma raiz DigiCert, mas o status da assinatura é "Incompatibilidade de Hash" .
• Dos 3.312 blocos analisados, 12 foram sinalizados como potencialmente maliciosos, 53 eram desconhecidos e 3.247 foram adicionados à lista de permissões.
• Ele usa chamadas de sistema de baixo nível por meio do ntdll.dll e chama OutputDebugString, uma API normalmente associada a verificações anti-depuração.

Uma incompatibilidade de hash significa que o conteúdo do arquivo não corresponde ao que a assinatura foi criada. Isso geralmente ocorre quando um arquivo foi alterado após a assinatura ou está corrompido. O feed não especifica qual das duas situações se aplica aqui. Também é possível que a detecção seja um falso positivo, já que o arquivo se apresenta como um aplicativo conhecido. Trate o arquivo com cautela até que você o verifique.

Geralmente é assim que chega aos computadores.

O feed informa que esse Trojan geralmente chega explorando vulnerabilidades e falhas de segurança do sistema. Ele também pode chegar por meio de downloads de software de sites maliciosos ou por anexos de e-mail de fontes não confiáveis. Os anexos geralmente são arquivos .exe, .pif, .avi ou até mesmo .jpg. Fingir ser um aplicativo popular, como este arquivo faz com seus detalhes de versão, é um truque comum. Os usuários baixam o que parece ser um instalador ou atualização normal de uma fonte não oficial.

Riscos para o usuário

• Controle remoto total do seu computador por um invasor.
• Roubo de senhas, arquivos pessoais e dados de contas (típico de Trojans com acesso remoto).
• Instalação de malware adicional.
• Perda de privacidade e possíveis prejuízos financeiros caso contas bancárias ou de jogos sejam expostas.

Sinais de infecção

O feed observa que o Trojan é executado silenciosamente, portanto, pode não haver sintomas óbvios. Os sinais de alerta típicos para esse tipo de ameaça incluem:

• Lentidão inexplicável ou alta atividade da CPU ou da rede.
• Processos desconhecidos em execução no Gerenciador de Tarefas.
• O software de segurança está sendo desativado ou as configurações estão sendo alteradas automaticamente.
• Logins ou compras em suas contas que você não realizou.
• Um iniciador ou aplicativo que se comporta de maneira diferente, ou um aviso de que sua assinatura digital é inválida.

Como se manter protegido

1. Baixe o software somente do site oficial do editor ou de uma loja confiável, nunca de sites alternativos ou links em mensagens.
2. Não abra anexos inesperados, mesmo que pareçam imagens ou vídeos.
3. Mantenha o Windows e todos os programas atualizados para corrigir as vulnerabilidades exploradas por esses Trojans.
4. Verifique a assinatura digital de um arquivo em suas Propriedades. Se o Windows reportar uma assinatura inválida ou incompatível, não execute o arquivo.
5. Se você receber essa detecção, desconecte-se da internet, execute uma verificação completa com uma ferramenta de segurança atualizada e confiável e coloque em quarentena ou remova o que for encontrado.
6. Caso o arquivo tenha sido executado no seu computador, altere as senhas importantes em um dispositivo limpo e ative a autenticação de dois fatores.
7. Se suspeitar que o arquivo é um programa legítimo sinalizado por engano, reinstale o aplicativo a partir da fonte oficial e faça uma nova verificação.

Dado o alto nível de perigo e a discrepância na assinatura, é mais seguro presumir que o arquivo não é confiável até que seja verificado.

Relatório de análise

Informação geral

Nome de família:	Trojan.Metasploit.Gen.ET
Status da assinatura:	Hash Mismatch

Amostras conhecidas

i

Amostras conhecidas

Esta seção lista outras amostras de arquivos que se acredita estarem associadas a esta família.

MD5: 6c444d2977717c00b3dc14b43c35fb2c SHA1: 29082374d2ee64f310252634a07c0399e7685494 SHA256: 72DD52C220607D2C98E53142AA234D3661AAAF672CECA68492ADF868545F1B79 Tamanho do Arquivo: 971.46 KB.971456 bytes

Atributos do executável portátil do Windows

i

Atributos do executável portátil do Windows

Esta seção lista os atributos de arquivo encontrados nas amostras da família. Esses atributos são extraídos da especificação Windows PE (Portable Executable) dos arquivos e de vários sinalizadores do sistema. Os atributos do Portable Executable fornecem aos pesquisadores de malware informações sobre a funcionalidade de um arquivo, detalhes do executável, plataforma e ambiente de execução.

• File doesn't have "Rich" header
• File doesn't have exports table
• File is 64-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Informações sobre a versão do Windows PE

i

Informações sobre a versão do Windows PE

Esta seção exibe os valores e atributos definidos na estrutura de dados de informações de versão de arquivos do Windows para amostras desta família. Para enganar os usuários, os agentes maliciosos frequentemente adicionam informações de versão falsas, imitando softwares legítimos.

Nome	Valor
Company Name	Cognosphere
File Description	HoYoPlay
File Version	1.6.0.227
Legal Copyright	Copyright © COGNOSPHERE. All Rights Reserved.
Product Name	HoYoPlay
Product Version	1.6.0.227

Assinaturas digitais

i

Assinaturas digitais

Esta seção lista as assinaturas digitais anexadas às amostras desta família. Ao analisar e verificar assinaturas digitais, é importante confirmar se a autoridade raiz da assinatura é uma entidade conhecida e confiável e se o status da assinatura é válido. Malwares frequentemente são assinados com assinaturas digitais "autoassinadas" não confiáveis (que podem ser facilmente criadas por um autor de malware sem qualquer verificação). Malwares também podem ser assinados por assinaturas legítimas com status inválido e por assinaturas de autoridades raiz questionáveis com nomes de "assinante" falsos ou enganosos.

Signatário	Raiz	Status
COGNOSPHERE PTE. LTD.	DigiCert Trusted Root G4	Hash Mismatch
COGNOSPHERE PTE. LTD.	DigiCert Trusted Root G4	Hash Mismatch

Características do arquivo

• x64

Informações do bloco

i

Informações do bloco

Durante a análise, o EnigmaSoft divide as amostras de arquivos em blocos lógicos para classificação e comparação com outras amostras. Os blocos podem ser usados para gerar regras de detecção de malware e para agrupar amostras de arquivos em famílias com base no código-fonte compartilhado, funcionalidade e outros atributos e características distintivas. Esta seção apresenta um resumo desses dados de bloco, bem como sua classificação pelo EnigmaSoft. Uma representação visual dos dados de bloco também é exibida, quando disponível.

Total de blocos:	3,312
Blocos potencialmente maliciosos:	12
Blocos permitidos:	3,247
Blocos desconhecidos:	53

Mapa visual

... Dados truncados

0 - Bloco Provavelmente Seguro
? - Bloco Desconhecido
x - Bloco Potencialmente Malicioso

Famílias semelhantes

i

Famílias semelhantes

Esta seção lista outras famílias que compartilham semelhanças com esta família, com base na análise da EnigmaSoft. Muitas famílias de malware são criadas a partir dos mesmos kits de ferramentas e utilizam as mesmas técnicas de compactação e criptografia, mas ampliam sua funcionalidade de forma exclusiva. Famílias semelhantes também podem compartilhar código-fonte, atributos, ícones, subcomponentes, assinaturas digitais comprometidas e/ou inválidas e características de rede. Os pesquisadores exploram essas semelhanças para triar amostras de arquivos de forma rápida e eficaz e aprimorar as regras de detecção de malware.

• Trojan.Metasploit.Gen.ET

Utilização da API do Windows

i

Utilização da API do Windows

Esta seção lista as chamadas da API do Windows usadas pelos exemplos desta família. A análise do uso da API do Windows é uma ferramenta valiosa que pode ajudar a identificar atividades maliciosas, como registro de teclas digitadas (keylogging), escalonamento de privilégios de segurança, criptografia de dados, exfiltração de dados, interferência com software antivírus e manipulação de solicitações de rede.

Categoria	API
Syscall Use	ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtQuerySecurityAttributesToken ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtTestAlert ntdll.dll!NtWriteFile UNKNOWN
Anti Debug	OutputDebugString