Trojan.Metasploit.Gen.BP

Trojan.Metasploit.Gen.BP est un cheval de Troie dangereux qui affecte les ordinateurs Windows. Classé comme une menace à haut risque, son niveau de dangerosité reflète sa capacité à conférer aux attaquants un contrôle étendu sur un système infecté. À l'instar de nombreuses menaces portant le nom « Metasploit », il est associé à des frameworks d'exploitation et à des techniques de déploiement de charges utiles utilisées aussi bien par les chercheurs en sécurité que par les acteurs malveillants pour tester ou contourner les défenses des systèmes. Sa présence sur un ordinateur légitime, et non dans un environnement de test contrôlé, doit être considérée comme un incident de sécurité grave.

Que fait Trojan.Metasploit.Gen.BP ?

Une fois activé, Trojan.Metasploit.Gen.BP s'installe discrètement et s'exécute en arrière-plan sans afficher de fenêtres ni d'alertes visibles. Les victimes ignorent généralement sa présence sur leur machine. Conçu pour exécuter des actions malveillantes en arrière-plan, il peut notamment permettre à un attaquant distant d'obtenir un contrôle étendu, voire total, sur le système infecté. Les menaces de cette famille sont connues pour se dissimuler en utilisant des noms et des propriétés de fichiers imitant des composants logiciels légitimes, tels que des fichiers courants de navigateur ou d'utilitaires système, afin de se fondre dans le décor et d'éviter les soupçons. Ce camouflage rend difficile pour un utilisateur lambda de détecter une anomalie en jetant simplement un coup d'œil aux processus en cours d'exécution ou aux fichiers installés.

Comment cela se retrouve généralement sur les ordinateurs

Le cheval de Troie Metasploit Gen.BP se propage généralement en exploitant les vulnérabilités et failles de sécurité non corrigées des systèmes. Il est fréquemment transmis par le biais de logiciels téléchargés depuis des sites web malveillants ou compromis, ainsi que par des pièces jointes à des courriels provenant de sources inconnues ou non fiables. Ces pièces jointes peuvent être dissimulées sous diverses extensions, notamment des fichiers exécutables, des images et des vidéos, incitant ainsi les utilisateurs à les ouvrir sans qu'ils se rendent compte qu'elles contiennent un code malveillant caché. En général, les chevaux de Troie de ce type s'appuient sur l'ingénierie sociale et les logiciels non corrigés pour contourner les défenses des utilisateurs sans être détectés.

Risques pour l’utilisateur

Le principal danger de ce cheval de Troie réside dans le niveau d'accès qu'il confère aux attaquants. S'il parvient à compromettre un système, les cybercriminels peuvent surveiller l'activité, dérober des données sensibles, installer d'autres logiciels malveillants ou utiliser l'ordinateur infecté comme point de départ pour d'autres attaques. Comme il opère silencieusement, les dégâts peuvent se prolonger avant que l'utilisateur ne s'aperçoive du problème, augmentant ainsi le risque de vol de données, de pertes financières ou de compromission durable du système.

Signes d’infection

Les chevaux de Troie de cette catégorie sont conçus pour passer inaperçus, leurs symptômes sont donc souvent minimes. Cependant, les utilisateurs peuvent constater des ralentissements inexpliqués, une activité réseau inhabituelle, l'apparition de processus ou de fichiers inconnus sur le système, la désactivation ou le défaut de mise à jour des outils de sécurité, ou encore des changements inattendus dans le comportement du système. Tout fichier non reconnu portant un nom apparemment légitime et associé à des composants logiciels courants doit être traité avec prudence et faire l'objet d'une enquête approfondie.

Comment rester protégé

Pour réduire les risques d'infection, maintenez votre système d'exploitation Windows et tous vos logiciels installés à jour afin d'éviter l'exploitation des vulnérabilités connues. Évitez de télécharger des programmes depuis des sites web non fiables ou non officiels, et n'ouvrez jamais les pièces jointes provenant d'expéditeurs inconnus ou inattendus, quelle que soit leur extension. Sauvegarder régulièrement vos données importantes, utiliser un compte utilisateur standard plutôt qu'un compte administrateur pour vos tâches quotidiennes et exécuter une solution anti-malware fiable et à jour contribuent à détecter et bloquer les menaces telles que Trojan.Metasploit.Gen.BP avant qu'elles ne causent des dommages importants.

Bulletin d'analyse

Informations générales

Nom de famille :	Trojan.Metasploit.Gen.BP
Statut de la signature :	No Signature

Échantillons connus

i

Échantillons connus

Cette section répertorie d'autres exemples de fichiers que l'on pense être associés à cette famille.

MD5: 6b4f72fdfbfceda1f25c8676cb994e7f SHA1: f157961f5e560c48f07465387bc39c4a2ce57553 SHA256: E19EF48A48EDA8258BE92D5EBC1C02EE6F7FF2339305897CD4C4B828B34CE151 Taille du fichier: 872.96 KB 872960 octets

MD5: 57c26ca59c3cd4f7294470a38a742c1e SHA1: 3a01e55297bb6157b265f1ffd1fc2f7cb72856aa SHA256: 1F4D39A8CF31F46F597AD1C070291B8CCBCDD406BDA8DBD7ED026679E2085F97 Taille du fichier: 1.57 MB 1574400 octets

MD5: c7f709bcd44b9cae9688034dd2dbbf66 SHA1: 5313f9c6f4a9d5cc9df0bcda456d83ab898db9ab SHA256: 938C4AC14959939E138DA1A211B228FD2B4C6443C8C7DFD8B8D692A1E5722D34 Taille du fichier: 879.62 KB 879616 octets

MD5: 82e917ce35dd084ff1dda6f9cce4c42f SHA1: 5bd20c3bcd275f9e08a86d9759b3519fc1c2ed8d SHA256: 8C6921827647E847DC51EA2CECA26D945C9571BF2FD82FA1F7DE84D071427C11 Taille du fichier: 879.62 KB 879616 octets

MD5: 28dc755329ac4dc109e3a79fd6359c6f SHA1: 97738cd5c984d0398eb0986929624a9dd5ea0281 SHA256: 42DF7D1D73BF008BA044DE074B8BC5E06290A55F3537701B9907F5A217F2B3D8 Taille du fichier: 872.96 KB 872960 octets

Show 2 more

MD5: b26aac4387d5d362a9248cc4811bf3eb SHA1: 5992a4e9392db2ccb7e7d4f48333e3d8cb62c410 SHA256: 4482BCEA03CE795A9F029153CA0E0282BCB6284DF3639D4221C0B0176F823617 Taille du fichier: 1.58 MB 1580032 octets

MD5: 0c85831f1eb3c9ff32f2c20575d07da7 SHA1: 3ad1513f299aadd739dde9c6d6ba2291a29660f3 SHA256: 33A42BD8A1EF3BFDEFD47B49BD9F50490625C4629F2D3347DDB5F08F951F4585 Taille du fichier: 879.62 KB 879616 octets

Attributs des exécutables portables Windows

i

Attributs des exécutables portables Windows

Cette section répertorie les attributs de fichiers présents dans les échantillons de la famille. Ces attributs sont extraits de la spécification Windows PE (Portable Executable) des fichiers et de divers indicateurs système. Les attributs des exécutables portables permettent aux chercheurs en sécurité informatique d'obtenir des informations sur les fonctionnalités, les détails d'exécution, la plateforme et l'environnement d'exécution d'un fichier.

• File doesn't have "Rich" header
• File doesn't have security information
• File has exports table
• File has TLS information
• File is 64-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)

Show 1 more

• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Icônes de fichiers

i

Icônes de fichiers

Cette section présente les ressources d'icônes trouvées dans les échantillons de la famille. Les logiciels malveillants reproduisent souvent des icônes couramment associées à des logiciels légitimes afin d'induire les utilisateurs en erreur et de leur faire croire qu'ils sont sûrs.

Informations sur la version de Windows PE

i

Informations sur la version de Windows PE

Cette section présente les valeurs et les attributs définis dans la structure de données des informations de version des fichiers Windows pour les échantillons de cette famille. Afin de tromper les utilisateurs, les auteurs de logiciels malveillants ajoutent souvent de fausses informations de version imitant celles des logiciels légitimes.

Nom	Évaluer
Assembly Version	1.0.0.0 0.172.4.0 0.171.3.0
Company Name	DuckDuckGo Importer NodeAddon
File Description	DuckDuckGo Importer NodeAddon
File Version	1.0.0.0 0.172.4.0 0.171.3.0
Internal Name	DuckDuckGo Importer.dll NodeAddon.dll
Legal Copyright	© 2026 DuckDuckGo
Original Filename	DuckDuckGo Importer.dll NodeAddon.dll
Product Name	DuckDuckGo Importer NodeAddon
Product Version	1.0.0+e0834210f32def92119c0aa4c370cd3dfa3577fd 1.0.0+c7e4a9b2ab2641b84004a134c9202a9b1a375b27 1.0.0+49f21d464dc7b128b556f22cfd618338faf79070 1.0.0+6b290ca6740d0731504a1687ebe0b9c3b1d167a6 1.0.0+1e27fe507fe2e2e1dbf8913292068986b445a600 0.172.4.0+42e7d1ddff1f4dd83facc7f664da9f8abef6f02f 0.171.3.0+3abc219211975d1d2c3bf49e064d62cf5bf43c3b

Caractéristiques du fichier

• dll
• VirtualAllocExNuma
• x64

Informations sur le bloc

i

Informations sur le bloc

Lors de l'analyse, EnigmaSoft segmente les échantillons de fichiers en blocs logiques afin de les classer et de les comparer à d'autres échantillons. Ces blocs permettent de générer des règles de détection de logiciels malveillants et de regrouper les échantillons de fichiers en familles en fonction du code source partagé, des fonctionnalités et d'autres attributs et caractéristiques distinctifs. Cette section présente un résumé de ces données de bloc, ainsi que leur classification par EnigmaSoft. Une représentation visuelle des données de bloc est également affichée, le cas échéant.

Nombre total de blocs :	3,794
Blocages potentiellement malveillants :	0
Blocs autorisés :	3,739
Blocs inconnus :	55

Carte visuelle

... Données tronquées

0 - Blocage probable du coffre-fort
? - Bloc inconnu
x - Blocage potentiellement malveillant

Familles similaires

i

Familles similaires

Cette section répertorie d'autres familles de logiciels malveillants présentant des similitudes avec celle-ci, d'après l'analyse d'EnigmaSoft. De nombreuses familles de logiciels malveillants sont créées à partir des mêmes kits d'outils et utilisent les mêmes techniques d'encapsulation et de chiffrement, tout en étendant leurs fonctionnalités de manière unique. Les familles similaires peuvent également partager le même code source, les mêmes attributs, les mêmes icônes, les mêmes sous-composants, les mêmes signatures numériques compromises ou invalides, ainsi que les mêmes caractéristiques réseau. Les chercheurs exploitent ces similitudes pour trier rapidement et efficacement les échantillons de fichiers et étendre les règles de détection des logiciels malveillants.

• Agent.DFWA
• Aotera.D
• Aotera.G
• Aotera.GA
• Brute.WWB

Show 7 more

• Downloader.MP
• Dropper.Agent.HU
• Kryptik.VEB
• Trojan.Agent.Gen.BCX
• Trojan.Downloader.Gen.ANB
• Trojan.Kryptik.Gen.FLZ
• Trojan.Metasploit.Gen.BP

Modifications du registre

i

Modifications du registre

Cette section répertorie les clés et valeurs de registre créées, modifiées et/ou supprimées par les échantillons de cette famille. L'activité du registre Windows peut fournir des informations précieuses sur le fonctionnement des logiciels malveillants. De plus, ces derniers créent souvent des valeurs de registre pour pouvoir démarrer automatiquement et persister indéfiniment après une infection initiale du système.

Clé::Valeur	Données	Nom de l'API
HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75	�n # �v����Bx(�1`1�1HO@V�A��H[uN$ b"hk`k�q{b��P���! ��� ����3 �����������m�Ù��V����$ �8წ���l��&M�~�=�SB1_T�Vw���%�� �������AE��D��&��$���L A *�" C ��|	RegNtPreCreateKey

Utilisation de l’API Windows

i

Utilisation de l'API Windows

Cette section répertorie les appels d'API Windows utilisés par les exemples de cette famille. L'analyse de l'utilisation des API Windows est un outil précieux permettant d'identifier les activités malveillantes, telles que l'enregistrement des frappes au clavier, l'élévation de privilèges, le chiffrement et l'exfiltration de données, l'interférence avec les logiciels antivirus et la manipulation des requêtes réseau.

Catégorie	API
Syscall Use	ntdll.dll!NtAccessCheck ntdll.dll!NtAlpcSendWaitReceivePort ntdll.dll!NtApphelpCacheControl ntdll.dll!NtClearEvent ntdll.dll!NtClose ntdll.dll!NtConnectPort ntdll.dll!NtCreateMutant ntdll.dll!NtCreateSection ntdll.dll!NtDeviceIoControlFile ntdll.dll!NtDuplicateToken Show 47 more ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtMapViewOfSection ntdll.dll!NtOpenEvent ntdll.dll!NtOpenFile ntdll.dll!NtOpenKey ntdll.dll!NtOpenKeyEx ntdll.dll!NtOpenProcessToken ntdll.dll!NtOpenProcessTokenEx ntdll.dll!NtOpenSection ntdll.dll!NtOpenSemaphore ntdll.dll!NtOpenThreadTokenEx ntdll.dll!NtProtectVirtualMemory ntdll.dll!NtQueryAttributesFile ntdll.dll!NtQueryDebugFilterState ntdll.dll!NtQueryInformationJobObject ntdll.dll!NtQueryInformationProcess ntdll.dll!NtQueryInformationThread ntdll.dll!NtQueryInformationToken ntdll.dll!NtQueryKey ntdll.dll!NtQueryPerformanceCounter ntdll.dll!NtQuerySecurityAttributesToken ntdll.dll!NtQuerySecurityObject ntdll.dll!NtQuerySystemInformation ntdll.dll!NtQuerySystemInformationEx ntdll.dll!NtQueryValueKey ntdll.dll!NtQueryVirtualMemory ntdll.dll!NtQueryVolumeInformationFile ntdll.dll!NtQueryWnfStateData ntdll.dll!NtReleaseMutant ntdll.dll!NtReleaseSemaphore ntdll.dll!NtReleaseWorkerFactoryWorker ntdll.dll!NtRequestWaitReplyPort ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationProcess ntdll.dll!NtSetInformationThread ntdll.dll!NtSetInformationVirtualMemory ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtSubscribeWnfStateChange ntdll.dll!NtTestAlert ntdll.dll!NtTraceControl ntdll.dll!NtUnmapViewOfSection ntdll.dll!NtUnmapViewOfSectionEx ntdll.dll!NtWaitForSingleObject ntdll.dll!NtWaitForWorkViaWorkerFactory ntdll.dll!NtWaitLowEventPair ntdll.dll!NtWriteFile UNKNOWN
Anti Debug	IsDebuggerPresent