Trojan.Metasploit.Gen.ET

Trojan.Metasploit.Gen.ET — это общее обнаружение трояна, нацеленного на компьютеры под управлением Windows. Уровень опасности составляет 8 из 10. Впервые обнаружен 23.08.2026, последний раз — 28.08.2026. В ленте пока зафиксировано только одно обнаружение, поэтому данные ограничены. Приведенная ниже информация полезна, особенно если вы недавно установили или обновили игровой лаунчер.

Что делает эта угроза?

Согласно информации из источника, этот троян устанавливается незаметно и работает в фоновом режиме, выполняя вредоносные функции без ведома пользователя. Он может позволить злоумышленникам получить полный контроль над зараженной системой. Трояны подобного рода обычно используются для удаленного выполнения команд, загрузки дополнительного вредоносного ПО или слежки за пользователем. Название предполагает связь с фреймворком Metasploit, набором инструментов для тестирования на проникновение. Общие обнаружения с таким названием обычно используются для полезных нагрузок, созданных с помощью подобных инструментов, но источник не подтверждает точно, что делает этот образец после запуска.

Как выглядит проанализированный файл

• Это 64-битный, нативный (не .NET) исполняемый файл с графическим интерфейсом пользователя для Windows, который не упакован в архив.
• В информации о версии указано, что это версия "HoYoPlay" 1.6.0.227 от Cognosphere.
• В цепочке цифровых подписей указаны COGNOSPHERE PTE. LTD. и корневой сертификат DigiCert, но статус подписи — «Несоответствие хеша» .
• Из 3312 проанализированных блоков 12 были помечены как потенциально вредоносные, 53 — как неизвестные, а 3247 были внесены в белый список.
• Он использует низкоуровневые системные вызовы через ntdll.dll и вызывает OutputDebugString, API, обычно связанный с проверками на предмет отладки.

Несоответствие хеша означает, что содержимое файла не соответствует тому, для чего была создана подпись. Обычно это происходит, когда файл был изменен после подписания или поврежден. В сообщении не указано, какой из этих случаев имеет место. Также возможно, что обнаружение является ложным срабатыванием, поскольку файл позиционирует себя как известное приложение. Обращайтесь с файлом с осторожностью, пока не проверите его.

Как это обычно попадает на компьютеры

В сообщении говорится, что этот троян обычно распространяется, используя уязвимости системы и недостатки безопасности. Он также может попасть в сеть через загрузку программного обеспечения с вредоносных веб-сайтов или через вложения в электронные письма из ненадежных источников. Вложения обычно представляют собой файлы .exe, .pif, .avi или даже .jpg. Распространенный трюк — выдавать себя за популярное приложение, как это делает данный файл, указывая свою версию. Пользователи загружают то, что выглядит как обычный лаунчер или обновление, из неофициального источника.

Риски для пользователя

• Злоумышленник получит полный удаленный доступ к вашему ПК.
• Кража паролей, личных файлов и данных учетных записей (типичная ситуация для троянских программ с удаленным доступом).
• Установка дополнительного вредоносного ПО.
• Утрата конфиденциальности и возможный финансовый ущерб в случае раскрытия информации о банковских или игровых счетах.

Признаки инфекции

В сообщении отмечается, что троянская программа работает незаметно, поэтому явных симптомов может не быть. Типичные признаки такой угрозы включают:

• Необъяснимые замедления работы или высокая активность процессора или сети.
• В диспетчере задач запущены неизвестные процессы.
• Программное обеспечение безопасности отключается или его настройки изменяются автоматически.
• Вход в ваши учетные записи или покупки, которые вы не совершали.
• Приложение или лаунчер, которые ведут себя иначе, или предупреждение о недействительности их цифровой подписи.

Как обеспечить свою безопасность

1. Загружайте программное обеспечение только с официального сайта издателя или из проверенного магазина, никогда не используйте сторонние зеркала или ссылки в сообщениях.
2. Не открывайте неожиданные вложения, даже если они выглядят как изображения или видео.
3. Регулярно обновляйте Windows и все программы, чтобы устранить уязвимости, которые используют эти трояны.
4. Проверьте цифровую подпись файла в его свойствах. Если Windows сообщает о недействительной или несовпадающей подписи, не запускайте файл.
5. Если вы обнаружили подобную уязвимость, отключитесь от интернета, выполните полное сканирование с помощью актуального и надежного инструмента безопасности и поместите обнаруженные вредоносные программы в карантин или удалите их.
6. Если файл мог быть запущен на вашем компьютере, смените важные пароли на чистом устройстве и включите двухфакторную аутентификацию.
7. Если вы подозреваете, что файл является легитимной программой, ошибочно помеченной как вредоносная, переустановите приложение из официального источника и выполните повторное сканирование.

Учитывая высокий уровень опасности и несоответствие сигнатур, наиболее безопасно считать файл ненадежным до тех пор, пока он не будет проверен.

Аналитический отчет

Главная Информация

Фамилия:	Trojan.Metasploit.Gen.ET
Статус подписи:	Hash Mismatch

Известные образцы

i

Известные образцы

В этом разделе перечислены другие образцы файлов, предположительно связанные с этой семьей.

MD5: 6c444d2977717c00b3dc14b43c35fb2c ША1: 29082374d2ee64f310252634a07c0399e7685494 SHA256: 72DD52C220607D2C98E53142AA234D3661AAAF672CECA68492ADF868545F1B79 Размер файла: 971.46 KB, 971456 байт

Атрибуты исполняемого файла Windows Portable

i

Атрибуты исполняемого файла Windows Portable

В этом разделе перечислены атрибуты файлов, обнаруженные в образцах семейства. Эти атрибуты извлекаются из спецификации исполняемых файлов Windows PE (Portable Executable) и различных системных флагов. Атрибуты исполняемых файлов позволяют исследователям вредоносного ПО получить представление о функциональности файла, деталях исполняемого файла, платформе и среде выполнения.

• File doesn't have "Rich" header
• File doesn't have exports table
• File is 64-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Информация о версии Windows PE

i

Информация о версии Windows PE

В этом разделе отображаются значения и атрибуты, установленные в структуре данных информации о версии файла Windows для образцов этого семейства. Чтобы ввести пользователей в заблуждение, злоумышленники часто добавляют поддельную информацию о версии, имитирующую легитимное программное обеспечение.

имя	Ценность
Company Name	Cognosphere
File Description	HoYoPlay
File Version	1.6.0.227
Legal Copyright	Copyright © COGNOSPHERE. All Rights Reserved.
Product Name	HoYoPlay
Product Version	1.6.0.227

Цифровые подписи

i

Цифровые подписи

В этом разделе перечислены цифровые подписи, прикрепленные к образцам из этого семейства. При анализе и проверке цифровых подписей важно убедиться, что корневой орган, ответственный за подпись, является известным и заслуживающим доверия субъектом, а также что статус подписи является действительным. Вредоносное ПО часто подписывается ненадежными «самоподписанными» цифровыми подписями (которые могут быть легко созданы автором вредоносного ПО без проверки). Вредоносное ПО также может быть подписано легитимными подписями, имеющими недействительный статус, а также подписями от сомнительных корневых органов с поддельными или вводящими в заблуждение именами «подписывающих лиц».

Подписавший	Корень	Статус
COGNOSPHERE PTE. LTD.	DigiCert Trusted Root G4	Hash Mismatch
COGNOSPHERE PTE. LTD.	DigiCert Trusted Root G4	Hash Mismatch

Характеристики файла

• x64

Информация о блоке

i

Информация о блоке

В процессе анализа EnigmaSoft разбивает образцы файлов на логические блоки для классификации и сравнения с другими образцами. Блоки могут использоваться для генерации правил обнаружения вредоносного ПО и для группировки образцов файлов в семейства на основе общего исходного кода, функциональности и других отличительных атрибутов и характеристик. В этом разделе приводится сводная информация о данных этих блоков, а также их классификация, выполненная EnigmaSoft. При наличии также отображается визуальное представление данных блоков.

Всего блоков:	3,312
Потенциально вредоносные блоки:	12
Блоки, внесенные в белый список:	3,247
Неизвестные блоки:	53

Визуальная карта

... Данные усечены

0 - Вероятный безопасный блок
? - Неизвестный блок
x - Потенциально вредоносная блокировка

Похожие семьи

i

Похожие семьи

В этом разделе перечислены другие семейства вредоносных программ, имеющие сходства с данным семейством, на основе анализа EnigmaSoft. Многие семейства вредоносных программ создаются с использованием одних и тех же наборов инструментов и применяют одни и те же методы упаковки и шифрования, но обладают уникальными расширенными функциональными возможностями. Схожие семейства могут также иметь общий исходный код, атрибуты, значки, субкомпоненты, скомпрометированные и/или недействительные цифровые подписи и сетевые характеристики. Исследователи используют эти сходства для быстрой и эффективной сортировки образцов файлов и расширения правил обнаружения вредоносных программ.

• Trojan.Metasploit.Gen.ET

Использование API Windows

i

Использование API Windows

В этом разделе перечислены вызовы API Windows, используемые примерами из этого семейства. Анализ использования API Windows — это ценный инструмент, который может помочь выявить вредоносную активность, такую как перехват нажатий клавиш, повышение привилегий в системе безопасности, шифрование данных, утечка данных, вмешательство в работу антивирусного программного обеспечения и манипулирование сетевыми запросами.

Категория	API
Syscall Use	ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtQuerySecurityAttributesToken ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtTestAlert ntdll.dll!NtWriteFile UNKNOWN
Anti Debug	OutputDebugString