Trojan.Meterpreter.GB
Fiche d'évaluation menace
Tableau de bord des menaces EnigmaSoft
EnigmaSoft Threat Scorecards sont des rapports d'évaluation de différentes menaces de logiciels malveillants qui ont été collectés et analysés par notre équipe de recherche. Les tableaux de bord des menaces EnigmaSoft évaluent et classent les menaces à l'aide de plusieurs mesures, notamment les facteurs de risque réels et potentiels, les tendances, la fréquence, la prévalence et la persistance. Les cartes de pointage EnigmaSoft Threat sont mises à jour régulièrement sur la base de nos données et mesures de recherche et sont utiles pour un large éventail d'utilisateurs d'ordinateurs, des utilisateurs finaux à la recherche de solutions pour supprimer les logiciels malveillants de leurs systèmes aux experts en sécurité analysant les menaces.
Les tableaux de bord des menaces d'EnigmaSoft affichent une variété d'informations utiles, notamment :
Classement de popularité : Le classement d'une menace particulière dans la base de données de menaces d'EnigmaSoft.
Niveau de gravité : le niveau de gravité déterminé d'un objet, représenté numériquement, sur la base de notre processus de modélisation des risques et de nos recherches, comme expliqué dans nos critères d'évaluation des menaces .
Ordinateurs infectés : le nombre de cas confirmés et suspects d'une menace particulière détectée sur des ordinateurs infectés, tel que rapporté par SpyHunter.
Voir aussi Critères d'évaluation des menaces .
| Niveau de menace: | 80 % (Haute) |
| Vu la première fois: | October 31, 2025 |
| Vu pour la dernière fois : | November 10, 2026 |
| Systèmes d'exploitation concernés: | Windows |
Trojan.Meterpreter.GB est un cheval de Troie détecté sous Windows, présentant un niveau de danger de 8 sur 10. Les chevaux de Troie se font passer pour des fichiers inoffensifs ou s'y dissimulent, et s'exécutent discrètement une fois installés sur un ordinateur. D'après les données enregistrées, cette détection a été observée pour la première fois le 31 octobre 2025 et pour la dernière fois le 10 novembre 2026.
Table des matières
Que fait la menace ?
Meterpreter.GB s'installe furtivement et s'exécute silencieusement en arrière-plan, où il effectue des actions malveillantes. Sa description indique qu'il peut donner aux pirates un contrôle total sur un système infecté et qu'il peut supprimer des fichiers à leur insu.
Le nom fait référence à Meterpreter, un composant de contrôle à distance. Il s'agit d'une déduction basée sur le nom, et non d'une information confirmée par le flux de données. Les menaces de ce type permettent généralement à un attaquant d'exécuter des commandes, de parcourir les fichiers et d'observer l'activité de la machine. Tout système présentant cette détection doit être considéré comme potentiellement sous le contrôle d'un tiers.
Caractéristiques techniques observées
- L'exemple est une DLL Windows 32 bits à haute entropie. Elle contient une table d'exportation, mais aucune signature numérique, aucune ressource, aucune information de débogage ni aucune information de sécurité.
- Il ne s'agit pas d'un package, et c'est une application native plutôt qu'une application .NET.
- Il utilise des appels système de bas niveau via ntdll.dll, ce qui permet de travailler au plus près du système d'exploitation.
- Il utilise NtUnmapViewOfSection, que l'analyse classe dans la catégorie « manipulation et contournement des processus ». Il utilise également NtQuerySystemInformation, classé dans la catégorie « contrôles anti-débogage ».
- Ce programme lance de nouveaux processus via CreateProcess. Dans l'exécution observée, il a été lancé depuis le dossier Téléchargements de l'utilisateur à l'aide de l'utilitaire rundll32 de Windows. Il s'agit d'une méthode courante pour exécuter une DLL malveillante, car une DLL ne peut pas démarrer directement.
Comment cela se retrouve généralement sur les ordinateurs
Le flux indique que Meterpreter.GB arrive généralement de la manière suivante :
- en exploitant les vulnérabilités et les failles de sécurité du système ;
- par le biais de téléchargements de logiciels provenant de sites Web malveillants ;
- par le biais de pièces jointes à des courriels provenant de sources non fiables, généralement des fichiers .exe, .pif, .avi et même .jpg.
Le détournement de type de fichier est une astuce courante. Un fichier qui ressemble à une image ou à une vidéo peut en réalité être un programme.
Risques pour l’utilisateur
- Perte de contrôle : un attaquant peut prendre le contrôle de l'ordinateur.
- Dommages aux fichiers : des fichiers peuvent être supprimés à votre insu.
- Atteinte à la vie privée : les chevaux de Troie d’accès à distance permettent généralement d’accéder à des documents personnels, aux identifiants de connexion enregistrés et à d’autres données sensibles. Le flux ne le confirme pas pour cette détection précise.
- Infection supplémentaire : un cheval de Troie doté d’un contrôle à distance peut généralement être utilisé pour introduire d’autres logiciels malveillants.
Signes d’infection
La menace est conçue pour rester dissimulée, il est donc possible qu'aucun symptôme évident ne se manifeste. Les signes suivants sont typiques de cette catégorie et ne sont pas systématiquement observés pour cette détection :
- ralentissements inattendus ou activité élevée du processeur ou du réseau alors que vous ne faites rien ;
- des fichiers qui disparaissent ou changent sans explication ;
- Activité rundll32 inhabituelle ou processus inconnus dans le Gestionnaire des tâches ;
- les paramètres de sécurité se modifient d'eux-mêmes ou les outils de sécurité ne démarrent pas ;
- un fichier récemment téléchargé ou reçu par courriel qui ne semblait rien faire lorsque vous l'avez ouvert.
Comment rester protégé
Si vous pensez que votre ordinateur est infecté, déconnectez-le d'Internet et effectuez une analyse complète avec un logiciel anti-malware à jour. Étant donné qu'un cheval de Troie de ce type peut permettre à une personne d'accéder à distance à votre système, changez ensuite les mots de passe de vos comptes importants depuis un autre appareil non infecté.
Bulletin d'analyse
Informations générales
| Nom de famille : | Trojan.Meterpreter.GB |
|---|---|
| Statut de la signature : | No Signature |
Échantillons connus
Échantillons connus
Cette section répertorie d'autres exemples de fichiers que l'on pense être associés à cette famille.|
MD5:
93c53b8610228e74aaf31560f55d0d00
SHA1:
078677fc081dee45c757b750bf9fad593ebac5de
SHA256:
11A5CFED2DC4EF5C197BEBB8E692F7F0EB43BB19216E7CC8688F3D29FA0F716F
Taille du fichier:
93.18 KB 93184 octets
|
Attributs des exécutables portables Windows
- File doesn't have "Rich" header
- File doesn't have debug information
- File doesn't have resources
- File doesn't have security information
- File has exports table
- File is 32-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
Show 2 more
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Caractéristiques du fichier
- dll
- HighEntropy
- x86
Informations sur le bloc
Informations sur le bloc
Lors de l'analyse, EnigmaSoft segmente les échantillons de fichiers en blocs logiques afin de les classer et de les comparer à d'autres échantillons. Ces blocs permettent de générer des règles de détection de logiciels malveillants et de regrouper les échantillons de fichiers en familles en fonction du code source partagé, des fonctionnalités et d'autres attributs et caractéristiques distinctifs. Cette section présente un résumé de ces données de bloc, ainsi que leur classification par EnigmaSoft. Une représentation visuelle des données de bloc est également affichée, le cas échéant.| Nombre total de blocs : | 340 |
|---|---|
| Blocages potentiellement malveillants : | 4 |
| Blocs autorisés : | 317 |
| Blocs inconnus : | 19 |
Carte visuelle
? - Bloc inconnu
x - Blocage potentiellement malveillant
Utilisation de l’API Windows
Utilisation de l'API Windows
Cette section répertorie les appels d'API Windows utilisés par les exemples de cette famille. L'analyse de l'utilisation des API Windows est un outil précieux permettant d'identifier les activités malveillantes, telles que l'enregistrement des frappes au clavier, l'élévation de privilèges, le chiffrement et l'exfiltration de données, l'interférence avec les logiciels antivirus et la manipulation des requêtes réseau.| Catégorie | API |
|---|---|
| Syscall Use |
Show 18 more
|
| Process Manipulation Evasion |
|
| Process Shell Execute |
|
| Anti Debug |
|
Exécution de commandes Shell
Exécution de commandes Shell
Cette section répertorie les commandes de l'interpréteur de commandes Windows exécutées par les échantillons de cette famille. Ces commandes sont fréquemment utilisées par les logiciels malveillants à des fins malveillantes et peuvent servir à élever les privilèges d'administrateur, télécharger et exécuter d'autres logiciels malveillants, exploiter des vulnérabilités, collecter et exfiltrer des données, et dissimuler des activités malveillantes.
C:\WINDOWS\SysWOW64\rundll32.exe C:\WINDOWS\system32\rundll32.exe c:\users\user\downloads\078677fc081dee45c757b750bf9fad593ebac5de_0000093184.,LiQMAxHB
|