Trojan.Meterpreter.GB

Trojan.Meterpreter.GB, Windows için 10 üzerinden 8 tehlike seviyesine sahip bir Truva atı tespitidir. Truva atları zararsız dosyalar gibi görünür veya bunların içine gizlenir ve bilgisayara bulaştıktan sonra sessizce çalışırlar. Besleme verilerine göre, bu tespit ilk olarak 31.10.2025 tarihinde ve son olarak 10.11.2026 tarihinde görülmüştür.

Tehdidin yaptığı şey

Meterpreter.GB, kendini gizlice kurar ve arka planda sessizce çalışarak kötü amaçlı işlevleri yerine getirir. Açıklamada, bu zararlı yazılımın bilgisayar korsanlarına bulaşmış bir sistem üzerinde tam kontrol sağlayabileceği ve dosyaları gizlice silebileceği belirtiliyor.

İsim, uzaktan kumanda bileşeni olan Meterpreter'ı işaret ediyor. Bu, isimden çıkarılan bir sonuçtur, veri kaynağından elde edilen bir gerçek değildir. Bu tür tehditler genellikle saldırganın komut çalıştırmasına, dosyalar arasında gezinmesine ve makinede neler olup bittiğini izlemesine olanak tanır. Bu tespiti içeren herhangi bir sistemi potansiyel olarak başkasının kontrolü altında olarak değerlendirin.

Gözlemlenen teknik özellikler

• Bu örnek, yüksek entropiye sahip 32 bitlik bir Windows DLL dosyasıdır. Dışa aktarma tablosu içerir ancak dijital imza, kaynak kodları, hata ayıklama bilgileri ve güvenlik bilgileri içermez.
• Paketlenmiş bir uygulama değil ve .NET uygulaması değil, yerel bir uygulamadır.
• Bu, ntdll.dll aracılığıyla düşük seviyeli sistem çağrılarını kullanır; bu da işletim sistemine yakın çalışmanın bir yoludur.
• Analizde süreç manipülasyonu ve kaçınma başlıkları altında gruplandırılan NtUnmapViewOfSection'ı kullanır. Ayrıca hata ayıklama önleme kontrolleri altında gruplandırılan NtQuerySystemInformation'ı da kullanır.
• CreateProcess ile yeni işlemler başlatır. Gözlemlenen çalıştırmada, kullanıcının İndirilenler klasöründen Windows rundll32 yardımcı programı aracılığıyla başlatıldı. Bu, kötü amaçlı bir DLL'yi çalıştırmanın yaygın bir yoludur, çünkü bir DLL kendi başına başlatılamaz.

Bilgisayarlara genellikle nasıl bulaşıyor?

Haber akışına göre Meterpreter.GB genellikle şu yollarla geliyor:

• Sistemdeki güvenlik açıklarından ve zafiyetlerden yararlanarak;
• Kötü amaçlı web sitelerinden yazılım indirmeleri yoluyla;
• Güvenilmeyen kaynaklardan gelen e-posta ekleri aracılığıyla, genellikle .exe, .pif, .avi ve hatta .jpg dosyaları yoluyla.

Gizlenmiş dosya türleri tipik bir hile yöntemidir. Resim veya video gibi görünen bir dosya aslında bir program olabilir.

Kullanıcı için riskler

• Kontrol kaybı: Saldırgan bilgisayarın kontrolünü ele geçirebilir.
• Dosya hasarı: Dosyalar bilginiz dışında silinebilir.
• Gizlilik ihlali: Uzaktan erişim sağlayan Truva atları genellikle kişisel belgelere, kaydedilmiş giriş bilgilerine ve diğer hassas verilere erişime izin verir. Bu özel tespit için bu durum teyit edilmemiştir.
• Daha fazla bulaşma: Uzaktan kumanda özelliğine sahip bir Truva atı, genellikle daha fazla kötü amaçlı yazılımın bulaşmasına neden olmak için kullanılabilir.

Enfeksiyon belirtileri

Tehdit gizli kalacak şekilde tasarlanmıştır, bu nedenle belirgin belirtiler olmayabilir. Bu belirtiler bu kategori için tipiktir ve bu tespit için doğrulanmamıştır:

• Hiçbir şey yapmadığınız halde beklenmedik yavaşlamalar veya yüksek CPU veya ağ etkinliği;
• Açıklama yapılmadan kaybolan veya değişen dosyalar;
• Görev Yöneticisi'nde alışılmadık rundll32 etkinliği veya bilinmeyen işlemler;
• Güvenlik ayarlarının kendiliğinden değişmesi veya güvenlik araçlarının başlatılamaması;
• Yakın zamanda indirdiğiniz veya e-posta ile gönderilen ve açtığınızda hiçbir şey yapmıyor gibi görünen bir dosya.

Nasıl korunabilirsiniz?

1. Windows'unuzu ve yazılımlarınızı güncel tutun. Güvenlik açıklarından yararlanmak başlıca bulaşma yollarından biridir, bu nedenle yamalar önemlidir.
2. E-posta eklerine dikkat edin. Tanımadığınız göndericilerden gelen dosyaları, özellikle .exe veya .pif dosyalarını veya çalıştırılmayı isteyen herhangi bir "resim" veya "video" dosyasını açmayın.
3. Yazılım indirmelerini yalnızca resmi kaynaklardan yapın. Ücretli programların korsan veya ücretsiz sürümlerini sunan sitelerden uzak durun.
4. Windows'ta dosya uzantılarını göstererek, bir resmin veya video adının arkasına gizlenmiş bir programı kolayca bulabilirsiniz.
5. Güvenilir ve güncel bir kötü amaçlı yazılımdan koruma aracı kullanın ve düzenli olarak tam tarama yapın.
6. Günlük işleriniz için standart bir kullanıcı hesabı kullanın ve önemli dosyalarınızın yedeklerini çevrimdışı veya ayrı bir depolama alanında saklayın.

Bilgisayarınızın virüs bulaştığını düşünüyorsanız, internet bağlantısını kesin ve güncel bir kötü amaçlı yazılım önleme programıyla tam tarama yapın. Bu tür bir Truva atı birine uzaktan erişim sağlayabileceğinden, önemli hesaplarınızın şifrelerini daha sonra farklı, temiz bir cihaz kullanarak değiştirin.

Analiz raporu

Genel bilgi

Soyadı:	Trojan.Meterpreter.GB
İmza durumu:	No Signature

Bilinen Örnekler

i

Bilinen Örnekler

Bu bölümde, bu aileyle ilişkili olduğuna inanılan diğer dosya örnekleri listelenmiştir.

MD5: 93c53b8610228e74aaf31560f55d0d00 SHA1: 078677fc081dee45c757b750bf9fad593ebac5de SHA256: 11A5CFED2DC4EF5C197BEBB8E692F7F0EB43BB19216E7CC8688F3D29FA0F716F Dosya boyutu: 93.18 KB.93184 bayt

Windows Taşınabilir Çalıştırılabilir Dosya Özellikleri

i

Windows Taşınabilir Çalıştırılabilir Dosya Özellikleri

Bu bölümde, örnek dosyalarda bulunan dosya öznitelikleri listelenmiştir. Bu öznitelikler, dosyaların Windows PE (Taşınabilir Çalıştırılabilir) spesifikasyonundan ve çeşitli sistem bayraklarından çıkarılır. Taşınabilir Çalıştırılabilir Öznitelikler, kötü amaçlı yazılım araştırmacılarına bir dosyanın işlevselliği, çalıştırılabilir ayrıntıları, platformu ve çalışma ortamı hakkında bilgi verir.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have resources
• File doesn't have security information
• File has exports table
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed

Show 2 more

• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Dosya Özellikleri

• dll
• HighEntropy
• x86

Blok Bilgileri

i

Blok Bilgileri

Analiz sırasında EnigmaSoft, dosya örneklerini sınıflandırma ve diğer örneklerle karşılaştırma için mantıksal bloklara ayırır. Bloklar, kötü amaçlı yazılım tespit kuralları oluşturmak ve dosya örneklerini paylaşılan kaynak koduna, işlevselliğe ve diğer ayırt edici özelliklere ve niteliklere göre gruplara ayırmak için kullanılabilir. Bu bölümde, bu blok verilerinin bir özeti ve EnigmaSoft tarafından yapılan sınıflandırması listelenmiştir. Ayrıca, mevcutsa, blok verilerinin görsel bir temsili de gösterilmektedir.

Toplam Blok Sayısı:	340
Potansiyel Olarak Zararlı Bloklar:	4
Beyaz Listeye Alınan Bloklar:	317
Bilinmeyen Bloklar:	19

Görsel Harita

0 - Muhtemel Güvenli Blok
? - Bilinmeyen Blok
x - Potansiyel Olarak Kötü Amaçlı Engelleme

Windows API Kullanımı

i

Windows API Kullanımı

Bu bölümde, bu ailedeki örnekler tarafından kullanılan Windows API çağrıları listelenmiştir. Windows API kullanım analizi, keylogging, güvenlik ayrıcalığı yükseltme, veri şifreleme, veri sızdırma, antivirüs yazılımlarına müdahale ve ağ isteği manipülasyonu gibi kötü amaçlı faaliyetleri belirlemeye yardımcı olabilecek değerli bir araçtır.

Kategori	API
Syscall Use	ntdll.dll!NtAlpcSendWaitReceivePort ntdll.dll!NtClose ntdll.dll!NtCreateFile ntdll.dll!NtCreateSection ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtMapViewOfSection ntdll.dll!NtOpenFile ntdll.dll!NtOpenKey ntdll.dll!NtOpenProcessToken ntdll.dll!NtQueryAttributesFile Show 18 more ntdll.dll!NtQueryDebugFilterState ntdll.dll!NtQueryInformationProcess ntdll.dll!NtQueryInformationToken ntdll.dll!NtQuerySystemInformationEx ntdll.dll!NtQueryValueKey ntdll.dll!NtQueryVirtualMemory ntdll.dll!NtQueryVolumeInformationFile ntdll.dll!NtReadFile ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationFile ntdll.dll!NtSetInformationProcess ntdll.dll!NtSetInformationVirtualMemory ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtTestAlert ntdll.dll!NtTraceControl ntdll.dll!NtUnmapViewOfSection ntdll.dll!NtWaitForSingleObject ntdll.dll!NtWriteFile
Process Manipulation Evasion	NtUnmapViewOfSection
Process Shell Execute	CreateProcess
Anti Debug	NtQuerySystemInformation

Kabuk Komutu Yürütme

i

Kabuk Komutu Yürütme

Bu bölümde, bu ailedeki örnekler tarafından çalıştırılan Windows kabuk komutları listelenmiştir. Windows kabuk komutları genellikle kötü amaçlı yazılımlar tarafından zararlı amaçlarla kullanılır ve güvenlik ayrıcalıklarını yükseltmek, diğer kötü amaçlı yazılımları indirip çalıştırmak, güvenlik açıklarından yararlanmak, veri toplamak ve sızdırmak ve kötü amaçlı faaliyetleri gizlemek için kullanılabilir.

C:\WINDOWS\SysWOW64\rundll32.exe C:\WINDOWS\system32\rundll32.exe c:\users\user\downloads\078677fc081dee45c757b750bf9fad593ebac5de_0000093184.,LiQMAxHB