Trojan.Metasploit.Gen.ET

Trojan.Metasploit.Gen.ET 是一个针对 Windows 计算机的通用木马检测结果。它的危险等级为 8（满分 10 分）。该木马首次出现于 2026 年 8 月 23 日，最后一次出现于 2026 年 8 月 28 日。目前该检测结果仅记录到一次，因此数据有限。如果您最近安装或更新了游戏启动器，则有必要了解以下详细信息。

威胁会造成什么影响？

根据信息来源，这款木马程序会隐蔽地安装自身，并在后台静默运行，在用户不知情的情况下执行恶意操作。它可能使攻击者完全控制受感染的系统。此类木马程序通常用于远程执行命令、下载其他恶意软件或监视用户。其名称暗示与 Metasploit 框架（一款渗透测试工具包）存在关联。此类名称的通用检测通常用于检测使用此类工具构建的有效载荷，但信息来源并未明确指出该样本启动后的具体操作。

分析后的文件是什么样子的

• 这是一个 64 位、原生（非 .NET）Windows GUI 可执行文件，未进行打包。
• 其版本信息将其描述为来自 Cognosphere 的“HoYoPlay”版本 1.6.0.227。
• 其数字签名链名称为 COGNOSPHERE PTE. LTD. 和 DigiCert 根证书，但签名状态为哈希不匹配。
• 在分析的 3,312 个区块中，12 个被标记为潜在恶意区块，53 个未知区块，3,247 个被列入白名单。
• 它通过 ntdll.dll 使用底层系统调用，并调用 OutputDebugString，这是一个通常与反调试检查相关的 API。

哈希值不匹配意味着文件内容与签名所针对的内容不符。这种情况通常发生在文件签名后被篡改或损坏时。信息源并未说明具体是哪种情况。此外，由于该文件伪装成已知应用程序，因此也可能是误报。在验证该文件之前，请谨慎处理。

它通常是如何进入电脑的

该消息来源称，这种木马通常利用系统漏洞和安全缺陷进行传播。它也可能通过恶意网站的软件下载或来自不可信来源的电子邮件附件传播。附件通常是 .exe、.pif、.avi 甚至 .jpg 文件。伪装成热门应用程序（例如此文件，并附有版本信息）是一种常见的伎俩。用户会从非官方来源下载看似正常的启动器或更新程序。

用户面临的风险

• 攻击者完全远程控制您的电脑。
• 窃取密码、个人文件和帐户数据（这是具有远程访问功能的木马的典型特征）。
• 安装其他恶意软件。
• 如果银行或游戏账户被泄露，可能会造成隐私损失和经济损失。

感染迹象

该信息源指出，木马程序静默运行，因此可能不会出现明显的症状。此类威胁的典型警告信号包括：

• 无法解释的运行速度下降或 CPU 或网络活动过高。
• 任务管理器中显示未知进程正在运行。
• 安全软件被禁用或设置自行更改。
• 您账户上出现了您本人未进行的登录或购买记录。
• 启动器或应用程序行为异常，或者发出数字签名无效的警告。

如何保护自己

1. 请仅从发行商的官方网站或可信赖的商店下载软件，切勿从第三方镜像网站或消息中的链接下载。
2. 不要打开来路不明的附件，即使它们看起来像图片或视频。
3. 保持 Windows 和所有程序更新，以修复这些木马程序利用的漏洞。
4. 在文件属性中检查文件的数字签名。如果 Windows 报告签名无效或不匹配，请勿运行该文件。
5. 如果检测到此威胁，请断开网络连接，使用最新、信誉良好的安全工具进行全面扫描，并将发现的问题隔离或删除。
6. 如果该文件可能在您的电脑上运行过，请在干净的设备上更改重要密码并启用双因素身份验证。
7. 如果您怀疑该文件是被错误标记的合法程序，请从官方来源重新安装该应用程序并重新扫描。

鉴于危险等级高且签名不匹配，在验证之前，最安全的做法是假定该文件不可信。

分析报告

一般信息

姓：	Trojan.Metasploit.Gen.ET
签名状态：	Hash Mismatch

已知样本

i

已知样本

本节列出了其他据信与该家族有关的文件样本。

MD5: 6c444d2977717c00b3dc14b43c35fb2c SHA1: 29082374d2ee64f310252634a07c0399e7685494 SHA256: 72DD52C220607D2C98E53142AA234D3661AAAF672CECA68492ADF868545F1B79 文件大小: 971.46 KB,971456字节

Windows 可移植可执行文件属性

i

Windows 可移植可执行文件属性

本节列出了在恶意软件家族样本中发现的文件属性。这些属性提取自文件的 Windows PE（可移植可执行文件）规范和各种系统标志。可移植可执行文件属性使恶意软件研究人员能够深入了解文件的功能、可执行文件的详细信息、平台和运行时环境。

• File doesn't have "Rich" header
• File doesn't have exports table
• File is 64-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Windows PE 版本信息

i

Windows PE 版本信息

本节显示此系列样本的 Windows 文件版本信息数据结构中已设置的值和属性。为了误导用户，恶意软件攻击者通常会添加伪造的版本信息，模仿合法软件。

姓名	价值
Company Name	Cognosphere
File Description	HoYoPlay
File Version	1.6.0.227
Legal Copyright	Copyright © COGNOSPHERE. All Rights Reserved.
Product Name	HoYoPlay
Product Version	1.6.0.227

数字签名

i

数字签名

本节列出了该系列样本所附带的数字签名。在分析和验证数字签名时，务必确认签名的根授权机构是知名且可信的实体，并且签名状态良好。恶意软件通常使用不可信的“自签名”数字签名（恶意软件作者可以轻松创建此类签名，无需任何验证）。恶意软件也可能使用状态无效的合法签名，或者使用来自可疑根授权机构且签名者名称虚假或具有误导性的签名。

签名者	根	地位
COGNOSPHERE PTE. LTD.	DigiCert Trusted Root G4	Hash Mismatch
COGNOSPHERE PTE. LTD.	DigiCert Trusted Root G4	Hash Mismatch

文件特征

• x64

区块信息

i

区块信息

在分析过程中，EnigmaSoft 会将文件样本分解成逻辑块，以便进行分类并与其他样本进行比较。这些逻辑块可用于生成恶意软件检测规则，并根据共享的源代码、功能以及其他显著属性和特征将文件样本分组到不同的家族中。本节概述了这些逻辑块数据及其 EnigmaSoft 分类结果。如果可用，还会显示逻辑块数据的可视化表示。

总区块数：	3,312
潜在恶意块：	12
白名单区块：	3,247
未知区块：	53

可视化地图

... 数据已截断

0 - 可能的保险箱
? - 未知区块
x - 潜在恶意拦截

相似家庭

i

相似家庭

本节根据 EnigmaSoft 的分析，列出了与此恶意软件家族具有相似性的其他家族。许多恶意软件家族都基于相同的恶意软件工具包创建，并使用相同的打包和加密技术，但各自扩展了独特的功能。相似的家族可能共享源代码、属性、图标、子组件、受损和/或无效的数字签名以及网络特征。研究人员利用这些相似性来快速有效地对文件样本进行分类，并扩展恶意软件检测规则。

• Trojan.Metasploit.Gen.ET

Windows API 使用情况

i

Windows API 使用情况

本节列出了此系列样本使用的 Windows API 调用。Windows API 使用情况分析是一项宝贵的工具，可以帮助识别恶意活动，例如键盘记录、安全权限提升、数据加密、数据泄露、干扰防病毒软件以及网络请求篡改。

类别	API
Syscall Use	ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtQuerySecurityAttributesToken ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtTestAlert ntdll.dll!NtWriteFile UNKNOWN
Anti Debug	OutputDebugString