Trojan.Metasploit.Gen.ET

Trojan.Metasploit.Gen.ET, Windows bilgisayarları hedef alan bir Truva atı için genel bir tespittir. Tehlike seviyesi 10 üzerinden 8'dir. İlk olarak 23.08.2026 tarihinde, son olarak ise 28.08.2026 tarihinde görülmüştür. Şu ana kadar yalnızca bir tespit kaydedildiğinden, veriler sınırlıdır. Özellikle yakın zamanda bir oyun başlatıcısı yüklediyseniz veya güncellediyseniz, aşağıdaki ayrıntıları anlamanız önemlidir.

Tehdidin yaptığı şey

Verilen bilgilere göre, bu Truva atı kendini gizlice kuruyor ve arka planda sessizce çalışarak kullanıcının farkına bile varmadan kötü amaçlı işlevler gerçekleştiriyor. Saldırganların enfekte olmuş sistem üzerinde tam kontrol sahibi olmalarına olanak sağlayabilir. Bu tür Truva atları genellikle uzaktan komut çalıştırmak, daha fazla kötü amaçlı yazılım indirmek veya kullanıcıyı gözetlemek için kullanılır. İsim, sızma testi araç seti olan Metasploit çerçevesiyle bir bağlantı olduğunu düşündürüyor. Bu tür isimlere sahip genel tespitler genellikle bu tür araçlarla oluşturulmuş yükler için kullanılır, ancak verilen bilgiler bu örneğin başlatıldıktan sonra tam olarak ne yaptığını doğrulamıyor.

Analiz edilen dosyanın görünümü

• Bu, paketlenmemiş, 64 bitlik, yerel (yani .NET tabanlı olmayan) bir Windows grafik arayüzü yürütülebilir dosyasıdır.
• Sürüm bilgileri, Cognosphere'den "HoYoPlay" sürüm 1.6.0.227 olarak tanımlanıyor.
• Dijital imza zincirinde COGNOSPHERE PTE. LTD. ve bir DigiCert kökü yer alıyor, ancak imza durumu "Karma Uyuşmazlığı" olarak görünüyor.
• Analiz edilen 3.312 bloktan 12'si potansiyel olarak zararlı olarak işaretlendi, 53'ünün türü bilinmiyor ve 3.247'si beyaz listeye alındı.
• Bu, ntdll.dll aracılığıyla düşük seviyeli sistem çağrıları kullanır ve genellikle hata ayıklama önleme kontrolleriyle ilişkilendirilen bir API olan OutputDebugString'i çağırır.

Bir hash uyuşmazlığı, dosyanın içeriğinin imzanın oluşturulma amacına uymadığı anlamına gelir. Bu durum genellikle dosya imzalandıktan sonra değiştirildiğinde veya hasar gördüğünde meydana gelir. Burada hangisinin geçerli olduğu belirtilmemiştir. Dosya bilinen bir uygulama olarak göründüğü için tespitin yanlış pozitif olması da mümkündür. Doğrulayana kadar dosyaya ihtiyatlı yaklaşın.

Bilgisayarlara genellikle nasıl bulaşıyor?

Habere göre bu Truva atı genellikle sistemdeki güvenlik açıklarından ve zafiyetlerden yararlanarak bulaşıyor. Ayrıca kötü amaçlı web sitelerinden yazılım indirmeleri veya güvenilmeyen kaynaklardan gelen e-posta ekleri yoluyla da bulaşabiliyor. Ekler genellikle .exe, .pif, .avi veya hatta .jpg dosyaları oluyor. Bu dosyanın sürüm bilgileriyle yaptığı gibi, popüler bir uygulama gibi görünmek yaygın bir hile. Kullanıcılar, resmi olmayan bir kaynaktan normal bir başlatıcı veya güncelleme gibi görünen bir dosya indiriyorlar.

Kullanıcı için riskler

• Saldırgan tarafından bilgisayarınızın uzaktan tam kontrolü.
• Şifrelerin, kişisel dosyaların ve hesap verilerinin çalınması (uzaktan erişime sahip Truva atları için tipiktir).
• Ek kötü amaçlı yazılımların yüklenmesi.
• Bankacılık veya oyun hesaplarının ifşa edilmesi durumunda gizlilik kaybı ve olası mali zararlar.

Enfeksiyon belirtileri

Yayınlanan bilgilere göre Truva atı sessiz çalışıyor, bu nedenle belirgin bir belirti göstermeyebilir. Bu tür tehditler için tipik uyarı işaretleri şunlardır:

• Açıklanamayan yavaşlamalar veya yüksek CPU veya ağ etkinliği.
• Görev Yöneticisi'nde çalışan bilinmeyen işlemler.
• Güvenlik yazılımının devre dışı bırakılması veya ayarlarının kendiliğinden değişmesi.
• Hesabınızda sizin yapmadığınız girişler veya satın alımlar.
• Farklı davranan bir başlatıcı veya uygulama ya da dijital imzasının geçersiz olduğuna dair bir uyarı.

Nasıl korunabilirsiniz?

1. Yazılımı yalnızca yayıncının resmi web sitesinden veya güvenilir bir mağazadan indirin, asla üçüncü taraf yansıtma sitelerinden veya mesajlardaki bağlantılardan indirmeyin.
2. Resim veya video gibi görünseler bile, beklenmedik ekleri açmayın.
3. Bu Truva atlarının istismar ettiği güvenlik açıklarını kapatmak için Windows'u ve tüm programları güncel tutun.
4. Dosyanın dijital imzasını Özellikler bölümünden kontrol edin. Windows geçersiz veya uyuşmayan bir imza bildirirse, dosyayı çalıştırmayın.
5. Bu tespit gerçekleşirse, internet bağlantınızı kesin, güncel ve güvenilir bir güvenlik aracıyla tam tarama yapın ve bulunan zararlı yazılımları karantinaya alın veya kaldırın.
6. Dosyanın bilgisayarınızda çalıştırılmış olma ihtimali varsa, önemli şifrelerinizi temiz bir cihazdan değiştirin ve iki faktörlü kimlik doğrulamayı etkinleştirin.
7. Dosyanın yanlışlıkla işaretlenmiş meşru bir program olduğundan şüpheleniyorsanız, uygulamayı resmi kaynaktan yeniden yükleyin ve tekrar tarayın.

Yüksek tehlike seviyesi ve imza uyuşmazlığı göz önüne alındığında, dosya doğrulanana kadar güvenilmez olduğunu varsaymak en güvenli yoldur.

Analiz raporu

Genel bilgi

Soyadı:	Trojan.Metasploit.Gen.ET
İmza durumu:	Hash Mismatch

Bilinen Örnekler

i

Bilinen Örnekler

Bu bölümde, bu aileyle ilişkili olduğuna inanılan diğer dosya örnekleri listelenmiştir.

MD5: 6c444d2977717c00b3dc14b43c35fb2c SHA1: 29082374d2ee64f310252634a07c0399e7685494 SHA256: 72DD52C220607D2C98E53142AA234D3661AAAF672CECA68492ADF868545F1B79 Dosya boyutu: 971.46 KB.971456 bayt

Windows Taşınabilir Çalıştırılabilir Dosya Özellikleri

i

Windows Taşınabilir Çalıştırılabilir Dosya Özellikleri

Bu bölümde, örnek dosyalarda bulunan dosya öznitelikleri listelenmiştir. Bu öznitelikler, dosyaların Windows PE (Taşınabilir Çalıştırılabilir) spesifikasyonundan ve çeşitli sistem bayraklarından çıkarılır. Taşınabilir Çalıştırılabilir Öznitelikler, kötü amaçlı yazılım araştırmacılarına bir dosyanın işlevselliği, çalıştırılabilir ayrıntıları, platformu ve çalışma ortamı hakkında bilgi verir.

• File doesn't have "Rich" header
• File doesn't have exports table
• File is 64-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Windows PE Sürüm Bilgileri

i

Windows PE Sürüm Bilgileri

Bu bölümde, bu aileye ait örnekler için Windows dosya sürüm bilgisi veri yapısında ayarlanmış değerler ve öznitelikler görüntülenir. Kullanıcıları yanıltmak için, kötü amaçlı yazılım saldırganları genellikle meşru yazılımları taklit eden sahte sürüm bilgileri ekler.

isim	Değer
Company Name	Cognosphere
File Description	HoYoPlay
File Version	1.6.0.227
Legal Copyright	Copyright © COGNOSPHERE. All Rights Reserved.
Product Name	HoYoPlay
Product Version	1.6.0.227

Dijital İmzalar

i

Dijital İmzalar

Bu bölümde, bu aile içindeki örneklere eklenmiş dijital imzalar listelenmiştir. Dijital imzaları analiz ederken ve doğrularken, imzanın kök otoritesinin tanınmış ve güvenilir bir kuruluş olduğunu ve imzanın durumunun iyi olduğunu doğrulamak önemlidir. Kötü amaçlı yazılımlar genellikle güvenilir olmayan "Kendinden İmzalı" dijital imzalarla imzalanır (bu imzalar, kötü amaçlı yazılım yazarı tarafından doğrulama yapılmadan kolayca oluşturulabilir). Kötü amaçlı yazılımlar ayrıca geçersiz duruma sahip meşru imzalarla ve sahte veya yanıltıcı "İmzalayan" adlarına sahip şüpheli kök otoritelerden gelen imzalarla da imzalanabilir.

İmzalayan	Kök	Durum
COGNOSPHERE PTE. LTD.	DigiCert Trusted Root G4	Hash Mismatch
COGNOSPHERE PTE. LTD.	DigiCert Trusted Root G4	Hash Mismatch

Dosya Özellikleri

• x64

Blok Bilgileri

i

Blok Bilgileri

Analiz sırasında EnigmaSoft, dosya örneklerini sınıflandırma ve diğer örneklerle karşılaştırma için mantıksal bloklara ayırır. Bloklar, kötü amaçlı yazılım tespit kuralları oluşturmak ve dosya örneklerini paylaşılan kaynak koduna, işlevselliğe ve diğer ayırt edici özelliklere ve niteliklere göre gruplara ayırmak için kullanılabilir. Bu bölümde, bu blok verilerinin bir özeti ve EnigmaSoft tarafından yapılan sınıflandırması listelenmiştir. Ayrıca, mevcutsa, blok verilerinin görsel bir temsili de gösterilmektedir.

Toplam Blok Sayısı:	3,312
Potansiyel Olarak Zararlı Bloklar:	12
Beyaz Listeye Alınan Bloklar:	3,247
Bilinmeyen Bloklar:	53

Görsel Harita

... Veriler kırpıldı

0 - Muhtemel Güvenli Blok
? - Bilinmeyen Blok
x - Potansiyel Olarak Kötü Amaçlı Engelleme

Benzer Aileler

i

Benzer Aileler

Bu bölümde, EnigmaSoft'un analizine dayanarak bu aileyle benzerlikler gösteren diğer aileler listelenmiştir. Birçok kötü amaçlı yazılım ailesi aynı kötü amaçlı yazılım araç setlerinden oluşturulur ve aynı paketleme ve şifreleme tekniklerini kullanır, ancak işlevselliği benzersiz bir şekilde genişletir. Benzer aileler ayrıca kaynak kodunu, öznitelikleri, simgeleri, alt bileşenleri, tehlikeye atılmış ve/veya geçersiz dijital imzaları ve ağ özelliklerini de paylaşabilir. Araştırmacılar, dosya örneklerini hızlı ve etkili bir şekilde sınıflandırmak ve kötü amaçlı yazılım tespit kurallarını genişletmek için bu benzerliklerden yararlanır.

• Trojan.Metasploit.Gen.ET

Windows API Kullanımı

i

Windows API Kullanımı

Bu bölümde, bu ailedeki örnekler tarafından kullanılan Windows API çağrıları listelenmiştir. Windows API kullanım analizi, keylogging, güvenlik ayrıcalığı yükseltme, veri şifreleme, veri sızdırma, antivirüs yazılımlarına müdahale ve ağ isteği manipülasyonu gibi kötü amaçlı faaliyetleri belirlemeye yardımcı olabilecek değerli bir araçtır.

Kategori	API
Syscall Use	ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtQuerySecurityAttributesToken ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtTestAlert ntdll.dll!NtWriteFile UNKNOWN
Anti Debug	OutputDebugString