Trojan.Metasploit.Gen.ET

Trojan.Metasploit.Gen.ET est une détection générique d'un cheval de Troie ciblant les ordinateurs Windows. Son niveau de dangerosité est de 8 sur 10. Il a été détecté pour la première fois le 23 août 2026 et pour la dernière fois le 28 août 2026. Le flux de données n'enregistre qu'une seule détection à ce jour ; les informations sont donc limitées. Il est important de prendre en compte les détails ci-dessous, notamment si vous avez récemment installé ou mis à jour un lanceur de jeu.

Que fait la menace ?

D'après les informations recueillies, ce cheval de Troie s'installe furtivement et s'exécute silencieusement en arrière-plan, menant des actions malveillantes à l'insu de l'utilisateur. Il pourrait permettre aux attaquants de prendre le contrôle total du système infecté. Les chevaux de Troie de ce type sont généralement utilisés pour exécuter des commandes à distance, télécharger d'autres logiciels malveillants ou espionner l'utilisateur. Son nom suggère un lien avec Metasploit, un outil de test d'intrusion. Les détections génériques portant ce type de nom sont généralement utilisées pour des charges utiles conçues avec ces outils, mais les informations recueillies ne confirment pas précisément le comportement de cet échantillon après son lancement.

Voici à quoi ressemble le fichier analysé

• Il s'agit d'un exécutable GUI Windows natif (non .NET) 64 bits qui n'est pas compressé.
• Ses informations de version le décrivent comme « HoYoPlay » version 1.6.0.227 de Cognosphere.
• Sa chaîne de signature numérique mentionne COGNOSPHERE PTE. LTD. et une racine DigiCert, mais le statut de la signature est « Hash Mismatch » .
• Sur 3 312 blocs analysés, 12 ont été signalés comme potentiellement malveillants, 53 étaient inconnus et 3 247 ont été mis sur liste blanche.
• Il utilise des appels système de bas niveau via ntdll.dll et appelle OutputDebugString, une API généralement associée aux contrôles anti-débogage.

Une erreur de hachage signifie que le contenu du fichier ne correspond pas à ce pour quoi la signature a été créée. Cela se produit généralement lorsqu'un fichier a été modifié après sa signature ou qu'il est endommagé. Le flux ne précise pas quelle est la cause du problème. Il est également possible qu'il s'agisse d'un faux positif, car le fichier se présente comme une application connue. Manipulez le fichier avec précaution jusqu'à ce que vous l'ayez vérifié.

Comment cela se retrouve généralement sur les ordinateurs

D'après ce rapport, ce cheval de Troie s'infiltre généralement en exploitant les vulnérabilités et failles de sécurité des systèmes. Il peut également être introduit par le biais de téléchargements de logiciels depuis des sites web malveillants ou de pièces jointes à des courriels provenant de sources non fiables. Les pièces jointes sont généralement des fichiers .exe, .pif, .avi ou même .jpg. Se faire passer pour une application populaire, comme le fait ce fichier avec ses informations de version, est une technique courante. Les utilisateurs téléchargent ainsi ce qui ressemble à un lanceur ou une mise à jour normale provenant d'une source non officielle.

Risques pour l’utilisateur

• Prise de contrôle totale à distance de votre PC par un attaquant.
• Vol de mots de passe, de fichiers personnels et de données de compte (cas typique des chevaux de Troie avec accès à distance).
• Installation de logiciels malveillants supplémentaires.
• Perte de confidentialité et risque de préjudice financier en cas de divulgation des comptes bancaires ou de jeux.

Signes d’infection

Le rapport indique que le cheval de Troie fonctionne silencieusement, il est donc possible qu'aucun symptôme évident ne soit présent. Les signes avant-coureurs typiques de ce type de menace sont les suivants :

• Ralentissements inexpliqués ou activité élevée du processeur ou du réseau.
• Processus inconnus en cours d'exécution dans le Gestionnaire des tâches.
• Le logiciel de sécurité est désactivé ou ses paramètres se modifient automatiquement.
• Connexions ou achats sur vos comptes que vous n'avez pas effectués.
• Un lanceur ou une application qui se comporte différemment, ou un avertissement indiquant que sa signature numérique est invalide.

Comment rester protégé

1. Téléchargez les logiciels uniquement depuis le site officiel de l'éditeur ou une boutique de confiance, jamais depuis des sites tiers ou des liens présents dans des messages.
2. N’ouvrez pas les pièces jointes inattendues, même si elles ressemblent à des images ou à des vidéos.
3. Maintenez Windows et tous vos programmes à jour afin de corriger les vulnérabilités exploitées par ces chevaux de Troie.
4. Vérifiez la signature numérique du fichier dans ses propriétés. Si Windows signale une signature invalide ou non conforme, ne l'exécutez pas.
5. Si vous recevez cette détection, déconnectez-vous d'Internet, effectuez une analyse complète avec un outil de sécurité à jour et réputé, puis mettez en quarantaine ou supprimez les éléments détectés.
6. Si le fichier a pu s'exécuter sur votre PC, changez vos mots de passe importants depuis un appareil propre et activez l'authentification à deux facteurs.
7. Si vous pensez que le fichier est un programme légitime signalé par erreur, réinstallez l'application depuis la source officielle et effectuez une nouvelle analyse.

Compte tenu du niveau de danger élevé et de la non-concordance de la signature, il est plus prudent de considérer le fichier comme non fiable jusqu'à ce qu'il ait été vérifié.

Bulletin d'analyse

Informations générales

Nom de famille :	Trojan.Metasploit.Gen.ET
Statut de la signature :	Hash Mismatch

Échantillons connus

i

Échantillons connus

Cette section répertorie d'autres exemples de fichiers que l'on pense être associés à cette famille.

MD5: 6c444d2977717c00b3dc14b43c35fb2c SHA1: 29082374d2ee64f310252634a07c0399e7685494 SHA256: 72DD52C220607D2C98E53142AA234D3661AAAF672CECA68492ADF868545F1B79 Taille du fichier: 971.46 KB 971456 octets

Attributs des exécutables portables Windows

i

Attributs des exécutables portables Windows

Cette section répertorie les attributs de fichiers présents dans les échantillons de la famille. Ces attributs sont extraits de la spécification Windows PE (Portable Executable) des fichiers et de divers indicateurs système. Les attributs des exécutables portables permettent aux chercheurs en sécurité informatique d'obtenir des informations sur les fonctionnalités, les détails d'exécution, la plateforme et l'environnement d'exécution d'un fichier.

• File doesn't have "Rich" header
• File doesn't have exports table
• File is 64-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Informations sur la version de Windows PE

i

Informations sur la version de Windows PE

Cette section présente les valeurs et les attributs définis dans la structure de données des informations de version des fichiers Windows pour les échantillons de cette famille. Afin de tromper les utilisateurs, les auteurs de logiciels malveillants ajoutent souvent de fausses informations de version imitant celles des logiciels légitimes.

Nom	Évaluer
Company Name	Cognosphere
File Description	HoYoPlay
File Version	1.6.0.227
Legal Copyright	Copyright © COGNOSPHERE. All Rights Reserved.
Product Name	HoYoPlay
Product Version	1.6.0.227

Signatures numériques

i

Signatures numériques

Cette section répertorie les signatures numériques associées aux échantillons de cette famille. Lors de l'analyse et de la vérification des signatures numériques, il est essentiel de s'assurer que l'autorité racine de la signature est une entité reconnue et digne de confiance, et que le statut de la signature est valide. Les logiciels malveillants sont souvent signés avec des signatures numériques « auto-signées » non fiables (facilement créables par un auteur de logiciel malveillant sans vérification). Ils peuvent également être signés par des signatures légitimes dont le statut est invalide, ou par des signatures provenant d'autorités racines douteuses, avec des noms de « signataire » falsifiés ou trompeurs.

Signataire	Racine	Statut
COGNOSPHERE PTE. LTD.	DigiCert Trusted Root G4	Hash Mismatch
COGNOSPHERE PTE. LTD.	DigiCert Trusted Root G4	Hash Mismatch

Caractéristiques du fichier

• x64

Informations sur le bloc

i

Informations sur le bloc

Lors de l'analyse, EnigmaSoft segmente les échantillons de fichiers en blocs logiques afin de les classer et de les comparer à d'autres échantillons. Ces blocs permettent de générer des règles de détection de logiciels malveillants et de regrouper les échantillons de fichiers en familles en fonction du code source partagé, des fonctionnalités et d'autres attributs et caractéristiques distinctifs. Cette section présente un résumé de ces données de bloc, ainsi que leur classification par EnigmaSoft. Une représentation visuelle des données de bloc est également affichée, le cas échéant.

Nombre total de blocs :	3,312
Blocages potentiellement malveillants :	12
Blocs autorisés :	3,247
Blocs inconnus :	53

Carte visuelle

... Données tronquées

0 - Blocage probable du coffre-fort
? - Bloc inconnu
x - Blocage potentiellement malveillant

Familles similaires

i

Familles similaires

Cette section répertorie d'autres familles de logiciels malveillants présentant des similitudes avec celle-ci, d'après l'analyse d'EnigmaSoft. De nombreuses familles de logiciels malveillants sont créées à partir des mêmes kits d'outils et utilisent les mêmes techniques d'encapsulation et de chiffrement, tout en étendant leurs fonctionnalités de manière unique. Les familles similaires peuvent également partager le même code source, les mêmes attributs, les mêmes icônes, les mêmes sous-composants, les mêmes signatures numériques compromises ou invalides, ainsi que les mêmes caractéristiques réseau. Les chercheurs exploitent ces similitudes pour trier rapidement et efficacement les échantillons de fichiers et étendre les règles de détection des logiciels malveillants.

• Trojan.Metasploit.Gen.ET

Utilisation de l’API Windows

i

Utilisation de l'API Windows

Cette section répertorie les appels d'API Windows utilisés par les exemples de cette famille. L'analyse de l'utilisation des API Windows est un outil précieux permettant d'identifier les activités malveillantes, telles que l'enregistrement des frappes au clavier, l'élévation de privilèges, le chiffrement et l'exfiltration de données, l'interférence avec les logiciels antivirus et la manipulation des requêtes réseau.

Catégorie	API
Syscall Use	ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtQuerySecurityAttributesToken ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtTestAlert ntdll.dll!NtWriteFile UNKNOWN
Anti Debug	OutputDebugString