Trojan.Meterpreter.GB

Trojan.Meterpreter.GB — это троянская программа для Windows с уровнем опасности 8 из 10. Трояны маскируются под безобидные файлы или скрываются внутри них, и после попадания на компьютер работают незаметно. Согласно данным из ленты новостей, это обнаружение было впервые зафиксировано 31.10.2025, а последнее — 10.11.2026.

Что делает эта угроза?

Meterpreter.GB устанавливается незаметно и работает в фоновом режиме, выполняя вредоносные функции. В описании говорится, что он может предоставить хакерам полный контроль над зараженной системой и незаметно удалять файлы.

Название указывает на Meterpreter, компонент удаленного управления. Это предположение, сделанное на основе названия, а не факт, подтвержденный данными из ленты новостей. Угрозы такого типа обычно позволяют злоумышленнику выполнять команды, перемещаться по файлам и наблюдать за происходящим на компьютере. Любую систему с таким обнаружением следует рассматривать как потенциально находящуюся под контролем другого лица.

Наблюдаемые технические характеристики

• Представленный пример — 32-битная DLL-библиотека для Windows с высокой энтропией. Она содержит таблицу экспортируемых файлов, но не имеет цифровой подписи, ресурсов, отладочной информации и информации о безопасности.
• Это не упакованное приложение, и оно является нативным, а не разработанным на платформе .NET.
• Он использует низкоуровневые системные вызовы через ntdll.dll, что позволяет работать в непосредственной близости от операционной системы.
• В нем используется NtUnmapViewOfSection, который в анализе относится к категориям манипулирования процессами и обхода защиты. Также используется NtQuerySystemInformation, который относится к категориям проверок на отладку.
• В ходе наблюдения он запускает новые процессы с помощью CreateProcess. Запуск осуществлялся через утилиту Windows rundll32 из папки «Загрузки» пользователя. Это распространенный способ запуска вредоносных DLL-файлов, поскольку DLL-файл не может запуститься самостоятельно.

Как это обычно попадает на компьютеры

В ленте новостей говорится, что Meterpreter.GB обычно появляется следующим образом:

• путем использования системных уязвимостей и недостатков в системе безопасности;
• посредством загрузки программного обеспечения с вредоносных веб-сайтов;
• через вложения в электронные письма из ненадежных источников, обычно это файлы с расширениями .exe, .pif, .avi и даже .jpg.

Замаскированные типы файлов — типичный трюк. Файл, который выглядит как изображение или видео, на самом деле может быть программой.

Риски для пользователя

• Потеря контроля: злоумышленник может захватить контроль над компьютером.
• Повреждение файлов: файлы могут быть удалены без вашего ведома.
• Угроза конфиденциальности: трояны с удаленным доступом обычно позволяют получить доступ к личным документам, сохраненным логинам и другим конфиденциальным данным. В данном конкретном случае это не подтверждается данными из ленты новостей.
• Дальнейшее заражение: троянская программа с удалённым управлением обычно может использоваться для внедрения большего количества вредоносных программ.

Признаки инфекции

Угроза задумана таким образом, чтобы оставаться скрытой, поэтому явных симптомов может не быть. Эти признаки типичны для данной категории и не подтверждены для данного типа обнаружения:

• Неожиданные замедления работы или высокая активность процессора или сети, когда вы ничего не делаете;
• файлы, которые пропадают или изменяются без объяснения причин;
• Неизвестная активность rundll32 или неизвестные процессы в диспетчере задач;
• Настройки безопасности меняются сами по себе, или инструменты безопасности не запускаются;
• Недавно загруженный или отправленный по электронной почте файл, который, судя по всему, никак не реагировал при открытии.

Как обеспечить свою безопасность

1. Регулярно обновляйте Windows и программное обеспечение. Использование уязвимостей — один из основных путей заражения, поэтому обновления очень важны.
2. Будьте осторожны с вложениями в электронные письма. Не открывайте файлы от неизвестных отправителей, особенно файлы с расширениями .exe или .pif, а также любые "изображения" или "видео", которые запрашивают разрешение на запуск.
3. Загружайте программное обеспечение только из официальных источников. Избегайте сайтов, предлагающих взломанные или бесплатные версии платных программ.
4. Отображение расширений файлов в Windows позволит вам обнаружить программу, скрывающуюся за названием изображения или видео.
5. Используйте надежную, актуальную антивирусную программу и регулярно запускайте полное сканирование.
6. Для повседневной работы используйте стандартную учетную запись пользователя , а резервные копии важных файлов храните в автономном режиме или на отдельном носителе.

Если вы считаете, что ваш компьютер заражен, отключите его от интернета и выполните полное сканирование с помощью обновленной антивирусной программы. Поскольку подобный троян может предоставить удаленный доступ, после этого смените пароли для важных учетных записей, используя другое, чистое устройство.

Аналитический отчет

Главная Информация

Фамилия:	Trojan.Meterpreter.GB
Статус подписи:	No Signature

Известные образцы

i

Известные образцы

В этом разделе перечислены другие образцы файлов, предположительно связанные с этой семьей.

MD5: 93c53b8610228e74aaf31560f55d0d00 ША1: 078677fc081dee45c757b750bf9fad593ebac5de SHA256: 11A5CFED2DC4EF5C197BEBB8E692F7F0EB43BB19216E7CC8688F3D29FA0F716F Размер файла: 93.18 KB, 93184 байт

Атрибуты исполняемого файла Windows Portable

i

Атрибуты исполняемого файла Windows Portable

В этом разделе перечислены атрибуты файлов, обнаруженные в образцах семейства. Эти атрибуты извлекаются из спецификации исполняемых файлов Windows PE (Portable Executable) и различных системных флагов. Атрибуты исполняемых файлов позволяют исследователям вредоносного ПО получить представление о функциональности файла, деталях исполняемого файла, платформе и среде выполнения.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have resources
• File doesn't have security information
• File has exports table
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed

Show 2 more

• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Характеристики файла

• dll
• HighEntropy
• x86

Информация о блоке

i

Информация о блоке

В процессе анализа EnigmaSoft разбивает образцы файлов на логические блоки для классификации и сравнения с другими образцами. Блоки могут использоваться для генерации правил обнаружения вредоносного ПО и для группировки образцов файлов в семейства на основе общего исходного кода, функциональности и других отличительных атрибутов и характеристик. В этом разделе приводится сводная информация о данных этих блоков, а также их классификация, выполненная EnigmaSoft. При наличии также отображается визуальное представление данных блоков.

Всего блоков:	340
Потенциально вредоносные блоки:	4
Блоки, внесенные в белый список:	317
Неизвестные блоки:	19

Визуальная карта

0 - Вероятный безопасный блок
? - Неизвестный блок
x - Потенциально вредоносная блокировка

Использование API Windows

i

Использование API Windows

В этом разделе перечислены вызовы API Windows, используемые примерами из этого семейства. Анализ использования API Windows — это ценный инструмент, который может помочь выявить вредоносную активность, такую как перехват нажатий клавиш, повышение привилегий в системе безопасности, шифрование данных, утечка данных, вмешательство в работу антивирусного программного обеспечения и манипулирование сетевыми запросами.

Категория	API
Syscall Use	ntdll.dll!NtAlpcSendWaitReceivePort ntdll.dll!NtClose ntdll.dll!NtCreateFile ntdll.dll!NtCreateSection ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtMapViewOfSection ntdll.dll!NtOpenFile ntdll.dll!NtOpenKey ntdll.dll!NtOpenProcessToken ntdll.dll!NtQueryAttributesFile Show 18 more ntdll.dll!NtQueryDebugFilterState ntdll.dll!NtQueryInformationProcess ntdll.dll!NtQueryInformationToken ntdll.dll!NtQuerySystemInformationEx ntdll.dll!NtQueryValueKey ntdll.dll!NtQueryVirtualMemory ntdll.dll!NtQueryVolumeInformationFile ntdll.dll!NtReadFile ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationFile ntdll.dll!NtSetInformationProcess ntdll.dll!NtSetInformationVirtualMemory ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtTestAlert ntdll.dll!NtTraceControl ntdll.dll!NtUnmapViewOfSection ntdll.dll!NtWaitForSingleObject ntdll.dll!NtWriteFile
Process Manipulation Evasion	NtUnmapViewOfSection
Process Shell Execute	CreateProcess
Anti Debug	NtQuerySystemInformation

Выполнение команд оболочки

i

Выполнение команд оболочки

В этом разделе перечислены команды оболочки Windows, которые выполняются образцами этого семейства. Команды оболочки Windows часто используются вредоносным ПО в злонамеренных целях и могут применяться для повышения привилегий безопасности, загрузки и запуска другого вредоносного ПО, использования уязвимостей, сбора и кражи данных, а также сокрытия вредоносной активности.

C:\WINDOWS\SysWOW64\rundll32.exe C:\WINDOWS\system32\rundll32.exe c:\users\user\downloads\078677fc081dee45c757b750bf9fad593ebac5de_0000093184.,LiQMAxHB