Trojan.Meterpreter.GB

Trojan.Meterpreter.GB é um Trojan detectado para Windows com um nível de perigo de 8 em 10. Trojans se disfarçam de arquivos inofensivos ou se escondem dentro deles, e são executados silenciosamente após entrarem no computador. De acordo com os dados do feed, essa detecção foi vista pela primeira vez em 31/10/2025 e pela última vez em 10/11/2026.

O que a ameaça faz

O Meterpreter.GB instala-se furtivamente e executa silenciosamente em segundo plano, onde realiza funções maliciosas. A descrição indica que ele pode dar aos hackers controle total sobre um sistema infectado e que pode excluir arquivos de forma oculta.

O nome sugere o Meterpreter, um componente de controle remoto. Essa é uma inferência baseada no nome, não um fato comprovado pelo feed de notícias. Ameaças desse tipo geralmente permitem que um invasor execute comandos, navegue pelos arquivos e observe o que acontece na máquina. Considere qualquer sistema com essa detecção como potencialmente sob o controle de terceiros.

Características técnicas observadas

• O exemplo é uma DLL do Windows de 32 bits com alta entropia. Possui uma tabela de exportação, mas não tem assinatura digital, recursos, informações de depuração ou informações de segurança.
• Não está compactado e é um aplicativo nativo, não .NET.
• Ele utiliza chamadas de sistema de baixo nível através do ntdll.dll, que é uma forma de trabalhar próximo ao sistema operacional.
• Utiliza NtUnmapViewOfSection, que a análise agrupa em manipulação e evasão de processos. Também utiliza NtQuerySystemInformation, que está agrupado em verificações anti-depuração.
• Ele inicia novos processos com CreateProcess. Na execução observada, foi iniciado através do utilitário rundll32 do Windows, a partir da pasta Downloads do usuário. Esta é uma forma comum de executar uma DLL maliciosa, pois uma DLL não pode ser iniciada sozinha.

Geralmente é assim que chega aos computadores.

O feed diz que o Meterpreter.GB normalmente chega desta forma:

• explorando vulnerabilidades do sistema e falhas de segurança;
• por meio de downloads de software de sites maliciosos;
• por meio de anexos de e-mail de fontes não confiáveis, geralmente arquivos .exe, .pif, .avi e até mesmo .jpg.

Tipos de arquivo disfarçados são um truque comum. Um arquivo que parece uma imagem ou um vídeo pode, na verdade, ser um programa.

Riscos para o usuário

• Perda de controle: um invasor pode assumir o controle do computador.
• Danos aos arquivos: os arquivos podem ser excluídos sem o seu conhecimento.
• Exposição à privacidade: os Trojans de acesso remoto geralmente permitem o acesso a documentos pessoais, logins salvos e outros dados confidenciais. O feed não confirma isso para esta detecção específica.
• Infecção adicional: um Trojan com controle remoto geralmente pode ser usado para introduzir mais malware.

Sinais de infecção

A ameaça foi projetada para permanecer oculta, portanto pode não apresentar sintomas óbvios. Esses sinais são típicos dessa categoria e não foram confirmados para esta detecção:

• Lentidão inesperada ou alta atividade da CPU ou da rede quando você não está fazendo nada;
• Arquivos que desaparecem ou são alterados sem explicação;
• Atividade rundll32 desconhecida ou processos desconhecidos no Gerenciador de Tarefas;
• As configurações de segurança mudam sozinhas ou as ferramentas de segurança não iniciam;
• Um arquivo baixado ou enviado por e-mail recentemente que parecia não fazer nada ao ser aberto.

Como se manter protegido

1. Mantenha o Windows e seus softwares atualizados. A exploração de vulnerabilidades é uma das principais formas de infecção, por isso as atualizações são essenciais.
2. Tenha cuidado com anexos de e-mail. Não abra arquivos de remetentes desconhecidos, especialmente arquivos .exe ou .pif, ou qualquer "imagem" ou "vídeo" que peça para ser executado.
3. Baixe softwares somente de fontes oficiais. Evite sites que oferecem versões piratas ou gratuitas de programas pagos.
4. Exibir extensões de arquivo no Windows permite identificar programas ocultos por trás do nome de uma imagem ou vídeo.
5. Utilize uma ferramenta antimalware confiável e atualizada e execute verificações completas regularmente.
6. Utilize uma conta de usuário padrão para o trabalho diário e mantenha backups de arquivos importantes offline ou em um armazenamento separado.

Se você suspeita que seu computador está infectado, desconecte-o da internet e execute uma verificação completa com uma ferramenta antimalware atualizada. Como um Trojan como esse pode conceder acesso remoto a terceiros, altere as senhas de suas contas importantes posteriormente, usando um dispositivo diferente e limpo.

Relatório de análise

Informação geral

Nome de família:	Trojan.Meterpreter.GB
Status da assinatura:	No Signature

Amostras conhecidas

i

Amostras conhecidas

Esta seção lista outras amostras de arquivos que se acredita estarem associadas a esta família.

MD5: 93c53b8610228e74aaf31560f55d0d00 SHA1: 078677fc081dee45c757b750bf9fad593ebac5de SHA256: 11A5CFED2DC4EF5C197BEBB8E692F7F0EB43BB19216E7CC8688F3D29FA0F716F Tamanho do Arquivo: 93.18 KB.93184 bytes

Atributos do executável portátil do Windows

i

Atributos do executável portátil do Windows

Esta seção lista os atributos de arquivo encontrados nas amostras da família. Esses atributos são extraídos da especificação Windows PE (Portable Executable) dos arquivos e de vários sinalizadores do sistema. Os atributos do Portable Executable fornecem aos pesquisadores de malware informações sobre a funcionalidade de um arquivo, detalhes do executável, plataforma e ambiente de execução.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have resources
• File doesn't have security information
• File has exports table
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed

Show 2 more

• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Características do arquivo

• dll
• HighEntropy
• x86

Informações do bloco

i

Informações do bloco

Durante a análise, o EnigmaSoft divide as amostras de arquivos em blocos lógicos para classificação e comparação com outras amostras. Os blocos podem ser usados para gerar regras de detecção de malware e para agrupar amostras de arquivos em famílias com base no código-fonte compartilhado, funcionalidade e outros atributos e características distintivas. Esta seção apresenta um resumo desses dados de bloco, bem como sua classificação pelo EnigmaSoft. Uma representação visual dos dados de bloco também é exibida, quando disponível.

Total de blocos:	340
Blocos potencialmente maliciosos:	4
Blocos permitidos:	317
Blocos desconhecidos:	19

Mapa visual

0 - Bloco Provavelmente Seguro
? - Bloco Desconhecido
x - Bloco Potencialmente Malicioso

Utilização da API do Windows

i

Utilização da API do Windows

Esta seção lista as chamadas da API do Windows usadas pelos exemplos desta família. A análise do uso da API do Windows é uma ferramenta valiosa que pode ajudar a identificar atividades maliciosas, como registro de teclas digitadas (keylogging), escalonamento de privilégios de segurança, criptografia de dados, exfiltração de dados, interferência com software antivírus e manipulação de solicitações de rede.

Categoria	API
Syscall Use	ntdll.dll!NtAlpcSendWaitReceivePort ntdll.dll!NtClose ntdll.dll!NtCreateFile ntdll.dll!NtCreateSection ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtMapViewOfSection ntdll.dll!NtOpenFile ntdll.dll!NtOpenKey ntdll.dll!NtOpenProcessToken ntdll.dll!NtQueryAttributesFile Show 18 more ntdll.dll!NtQueryDebugFilterState ntdll.dll!NtQueryInformationProcess ntdll.dll!NtQueryInformationToken ntdll.dll!NtQuerySystemInformationEx ntdll.dll!NtQueryValueKey ntdll.dll!NtQueryVirtualMemory ntdll.dll!NtQueryVolumeInformationFile ntdll.dll!NtReadFile ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationFile ntdll.dll!NtSetInformationProcess ntdll.dll!NtSetInformationVirtualMemory ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtTestAlert ntdll.dll!NtTraceControl ntdll.dll!NtUnmapViewOfSection ntdll.dll!NtWaitForSingleObject ntdll.dll!NtWriteFile
Process Manipulation Evasion	NtUnmapViewOfSection
Process Shell Execute	CreateProcess
Anti Debug	NtQuerySystemInformation

Execução de comandos do shell

i

Execução de comandos do shell

Esta seção lista os comandos do shell do Windows executados pelas amostras desta família. Os comandos do shell do Windows são frequentemente explorados por malware para fins maliciosos e podem ser usados para elevar privilégios de segurança, baixar e executar outros malwares, explorar vulnerabilidades, coletar e exfiltrar dados e ocultar atividades maliciosas.

C:\WINDOWS\SysWOW64\rundll32.exe C:\WINDOWS\system32\rundll32.exe c:\users\user\downloads\078677fc081dee45c757b750bf9fad593ebac5de_0000093184.,LiQMAxHB