Trojan.Meterpreter.GB

Trojan.Meterpreter.GB 是一款 Windows 木马程序，危险等级为 8（满分 10）。木马程序伪装成无害文件或隐藏在其中，并在入侵计算机后悄无声息地运行。根据系统数据，该木马程序首次出现于 2025 年 10 月 31 日，最后一次出现于 2026 年 11 月 10 日。

威胁会造成什么影响？

Meterpreter.GB 会悄无声息地安装自身，并在后台静默运行，执行恶意操作。其描述称，它可以让黑客完全控制受感染的系统，并可能秘密删除文件。

该名称指向 Meterpreter，一个远程控制组件。这是从名称推断出来的，并非来自信息源的事实。此类威胁通常允许攻击者执行命令、浏览文件并监视机器上的活动。请将任何检测到此类威胁的系统视为可能已被他人控制。

观察到的技术特性

• 该样本是一个高熵的 32 位 Windows DLL 文件。它包含导出表，但没有数字签名、资源、调试信息和安全信息。
• 它没有打包，而且是一个原生应用程序，而不是一个 .NET 应用程序。
• 它通过 ntdll.dll 使用底层系统调用，这是一种接近操作系统进行操作的方式。
• 它使用了 NtUnmapViewOfSection，该分析将其归类为进程操纵和规避。它还使用了 NtQuerySystemInformation，该分析将其归类为反调试检查。
• 它使用 CreateProcess 函数启动新进程。在观察到的运行过程中，它是通过 Windows 的 rundll32 工具从用户的“下载”文件夹启动的。这是运行恶意 DLL 的常见方法，因为 DLL 无法自行启动。

它通常是如何进入电脑的

该信息源显示，Meterpreter.GB 通常通过以下方式接收：

• 利用系统漏洞和安全缺陷；
• 通过恶意网站下载软件；
• 通过来自不受信任来源的电子邮件附件，通常是 .exe、.pif、.avi 甚至 .jpg 文件。

伪装文件类型是一种常见的伎俩。看起来像图片或视频的文件实际上可能是一个程序。

用户面临的风险

• 失去控制：攻击者可能控制计算机。
• 文件损坏：文件可能在您不知情的情况下被删除。
• 隐私泄露：远程访问木马通常允许访问个人文档、已保存的登录信息和其他敏感数据。但此次检测并未证实存在此类情况。
• 进一步感染：具有远程控制功能的木马程序通常可以用来引入更多恶意软件。

感染迹象

这种威胁旨在隐藏自身，因此可能不会出现明显的症状。以下迹象是此类威胁的典型特征，但尚未被证实可用于此次检测：

• 当您没有进行任何操作时，出现意外的运行缓慢或 CPU 或网络活动过高；
• 文件无故丢失或更改；
• 任务管理器中出现不熟悉的 rundll32 活动或未知进程；
• 安全设置自行更改，或安全工具无法启动；
• 最近下载或通过电子邮件收到的文件，打开后似乎没有任何反应。

如何保护自己

1. 保持 Windows 和软件更新。利用漏洞是主要的感染途径之一，因此补丁至关重要。
2. 请谨慎对待电子邮件附件。不要打开来自陌生发件人的文件，尤其是 .exe 或 .pif 文件，以及任何要求运行的“图片”或“视频”。
3. 请仅从官方渠道下载软件。避免访问提供破解版或免费版付费程序的网站。
4. 在 Windows 中显示文件扩展名，以便您可以发现隐藏在图像或视频名称后面的程序。
5. 使用信誉良好、版本最新的反恶意软件工具，并定期进行全面扫描。
6. 日常工作使用标准用户帐户，并将重要文件的备份离线保存或保存在单独的存储设备上。

如果您怀疑电脑感染了病毒，请断开网络连接，并使用最新的反恶意软件工具进行全面扫描。由于此类木马程序可能允许他人远程访问您的电脑，因此请务必之后使用另一台干净的设备更改重要账户的密码。

分析报告

一般信息

姓：	Trojan.Meterpreter.GB
签名状态：	No Signature

已知样本

i

已知样本

本节列出了其他据信与该家族有关的文件样本。

MD5: 93c53b8610228e74aaf31560f55d0d00 SHA1: 078677fc081dee45c757b750bf9fad593ebac5de SHA256: 11A5CFED2DC4EF5C197BEBB8E692F7F0EB43BB19216E7CC8688F3D29FA0F716F 文件大小: 93.18 KB,93184字节

Windows 可移植可执行文件属性

i

Windows 可移植可执行文件属性

本节列出了在恶意软件家族样本中发现的文件属性。这些属性提取自文件的 Windows PE（可移植可执行文件）规范和各种系统标志。可移植可执行文件属性使恶意软件研究人员能够深入了解文件的功能、可执行文件的详细信息、平台和运行时环境。

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have resources
• File doesn't have security information
• File has exports table
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed

Show 2 more

• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

文件特征

• dll
• HighEntropy
• x86

区块信息

i

区块信息

在分析过程中，EnigmaSoft 会将文件样本分解成逻辑块，以便进行分类并与其他样本进行比较。这些逻辑块可用于生成恶意软件检测规则，并根据共享的源代码、功能以及其他显著属性和特征将文件样本分组到不同的家族中。本节概述了这些逻辑块数据及其 EnigmaSoft 分类结果。如果可用，还会显示逻辑块数据的可视化表示。

总区块数：	340
潜在恶意块：	4
白名单区块：	317
未知区块：	19

可视化地图

0 - 可能的保险箱
? - 未知区块
x - 潜在恶意拦截

Windows API 使用情况

i

Windows API 使用情况

本节列出了此系列样本使用的 Windows API 调用。Windows API 使用情况分析是一项宝贵的工具，可以帮助识别恶意活动，例如键盘记录、安全权限提升、数据加密、数据泄露、干扰防病毒软件以及网络请求篡改。

类别	API
Syscall Use	ntdll.dll!NtAlpcSendWaitReceivePort ntdll.dll!NtClose ntdll.dll!NtCreateFile ntdll.dll!NtCreateSection ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtMapViewOfSection ntdll.dll!NtOpenFile ntdll.dll!NtOpenKey ntdll.dll!NtOpenProcessToken ntdll.dll!NtQueryAttributesFile Show 18 more ntdll.dll!NtQueryDebugFilterState ntdll.dll!NtQueryInformationProcess ntdll.dll!NtQueryInformationToken ntdll.dll!NtQuerySystemInformationEx ntdll.dll!NtQueryValueKey ntdll.dll!NtQueryVirtualMemory ntdll.dll!NtQueryVolumeInformationFile ntdll.dll!NtReadFile ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationFile ntdll.dll!NtSetInformationProcess ntdll.dll!NtSetInformationVirtualMemory ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtTestAlert ntdll.dll!NtTraceControl ntdll.dll!NtUnmapViewOfSection ntdll.dll!NtWaitForSingleObject ntdll.dll!NtWriteFile
Process Manipulation Evasion	NtUnmapViewOfSection
Process Shell Execute	CreateProcess
Anti Debug	NtQuerySystemInformation

Shell命令执行

i

Shell命令执行

本节列出了此系列样本运行的 Windows Shell 命令。恶意软件经常利用 Windows Shell 命令进行恶意活动，例如提升安全权限、下载和启动其他恶意软件、利用漏洞、收集和窃取数据以及隐藏恶意活动。

C:\WINDOWS\SysWOW64\rundll32.exe C:\WINDOWS\system32\rundll32.exe c:\users\user\downloads\078677fc081dee45c757b750bf9fad593ebac5de_0000093184.,LiQMAxHB