Trojan.Metasploit.Gen.ET

Trojan.Metasploit.Gen.ET ist eine generische Erkennung für einen Trojaner, der Windows-Computer angreift. Er hat eine Gefahrenstufe von 8 von 10. Er wurde erstmals am 23.08.2026 und zuletzt am 28.08.2026 gesichtet. Bisher wurde nur eine Erkennung registriert, daher sind die Daten begrenzt. Die folgenden Details sind wichtig, insbesondere wenn Sie kürzlich einen Spiele-Launcher installiert oder aktualisiert haben.

Was die Bedrohung bewirkt

Laut dem Bericht installiert sich dieser Trojaner unbemerkt und läuft im Hintergrund, wobei er schädliche Funktionen ausführt, ohne dass der Benutzer dies bemerkt. Angreifer können dadurch die vollständige Kontrolle über das infizierte System erlangen. Trojaner dieser Art werden typischerweise verwendet, um Befehle aus der Ferne auszuführen, weitere Schadsoftware herunterzuladen oder den Benutzer auszuspionieren. Der Name deutet auf eine Verbindung zum Metasploit-Framework hin, einem Penetrationstest-Toolkit. Generische Erkennungen mit einem solchen Namen werden typischerweise für mit solchen Tools erstellte Schadsoftware verwendet, der Bericht gibt jedoch keine genauen Informationen darüber, was diese Schadsoftware nach dem Start tut.

So sieht die analysierte Datei aus

• Es handelt sich um eine native (nicht .NET) 64-Bit-Windows-GUI-Anwendung, die nicht gepackt ist.
• Die Versionsinformationen beschreiben es als "HoYoPlay" Version 1.6.0.227 von Cognosphere.
• Die digitale Signaturkette nennt COGNOSPHERE PTE. LTD. und eine DigiCert-Root-Zertifizierungsstelle, aber der Signaturstatus ist Hash Mismatch .
• Von 3.312 analysierten Blöcken wurden 12 als potenziell schädlich gekennzeichnet, 53 waren unbekannt und 3.247 wurden auf die Whitelist gesetzt.
• Es verwendet Low-Level-Systemaufrufe über ntdll.dll und ruft OutputDebugString auf, eine API, die typischerweise mit Anti-Debugging-Prüfungen in Verbindung gebracht wird.

Ein Hash-Fehler bedeutet, dass der Inhalt der Datei nicht mit dem übereinstimmt, wofür die Signatur erstellt wurde. Dies tritt typischerweise auf, wenn eine Datei nach der Signierung verändert oder beschädigt wurde. Der Feed gibt nicht an, welcher Fall hier zutrifft. Es ist auch möglich, dass es sich um einen Fehlalarm handelt, da die Datei als bekannte Anwendung ausgegeben wird. Behandeln Sie die Datei mit Vorsicht, bis Sie sie überprüft haben.

Wie es üblicherweise auf Computer gelangt

Laut dem Bericht gelangt dieser Trojaner typischerweise durch Ausnutzung von Systemschwachstellen und Sicherheitslücken auf den Computer. Er kann auch durch Software-Downloads von schädlichen Webseiten oder durch E-Mail-Anhänge von unbekannten Absendern verbreitet werden. Anhänge sind üblicherweise .exe-, .pif-, .avi- oder sogar .jpg-Dateien. Eine gängige Masche ist es, sich als beliebte Anwendung auszugeben, wie es diese Datei mit ihren Versionsangaben tut. Nutzer laden dann eine Datei herunter, die wie ein normaler Launcher oder ein Update aussieht, und zwar von einer inoffiziellen Quelle.

Risiken für den Nutzer

• Vollständige Fernsteuerung Ihres PCs durch einen Angreifer.
• Diebstahl von Passwörtern, persönlichen Dateien und Kontodaten (typisch für Trojaner mit Fernzugriff).
• Installation zusätzlicher Schadsoftware.
• Verlust der Privatsphäre und möglicher finanzieller Schaden, falls Bank- oder Spielkonten offengelegt werden.

Anzeichen einer Infektion

Der Feed weist darauf hin, dass der Trojaner unbemerkt läuft, sodass keine offensichtlichen Symptome auftreten können. Typische Warnzeichen für diese Art von Bedrohung sind:

• Unerklärliche Verlangsamungen oder hohe CPU- oder Netzwerkaktivität.
• Im Task-Manager werden unbekannte Prozesse angezeigt.
• Sicherheitssoftware wird deaktiviert oder deren Einstellungen ändern sich selbstständig.
• Anmeldungen oder Käufe auf Ihren Konten, die Sie nicht getätigt haben.
• Ein Launcher oder eine Anwendung, die sich anders verhält, oder eine Warnung, dass ihre digitale Signatur ungültig ist.

Wie man sich schützt

1. Laden Sie Software nur von der offiziellen Website des Herausgebers oder einem vertrauenswürdigen Shop herunter, niemals von Drittanbieter-Mirror-Seiten oder Links in Nachrichten.
2. Öffnen Sie keine unerwarteten Anhänge, auch wenn sie wie Bilder oder Videos aussehen.
3. Halten Sie Windows und alle Programme auf dem neuesten Stand, um die Sicherheitslücken zu schließen, die diese Trojaner ausnutzen.
4. Überprüfen Sie die digitale Signatur einer Datei in deren Eigenschaften. Wenn Windows eine ungültige oder nicht übereinstimmende Signatur meldet, führen Sie die Datei nicht aus.
5. Wenn diese Meldung erscheint, trennen Sie die Internetverbindung, führen Sie einen vollständigen Scan mit einem aktuellen, seriösen Sicherheitstool durch und isolieren oder entfernen Sie die gefundenen Bedrohungen.
6. Falls die Datei möglicherweise auf Ihrem PC ausgeführt wurde, ändern Sie wichtige Passwörter von einem sauberen Gerät aus und aktivieren Sie die Zwei-Faktor-Authentifizierung.
7. Falls Sie vermuten, dass es sich bei der Datei um ein legitimes Programm handelt, das irrtümlich als solches markiert wurde, installieren Sie die Anwendung von der offiziellen Quelle neu und führen Sie einen erneuten Scan durch.

Angesichts des hohen Gefahrenpotenzials und der Diskrepanz in der Signatur ist es am sichersten, davon auszugehen, dass die Datei nicht vertrauenswürdig ist, bis sie verifiziert wurde.

Analysebericht

Allgemeine Information

Nachname:	Trojan.Metasploit.Gen.ET
Signaturstatus:	Hash Mismatch

Bekannte Proben

i

Bekannte Proben

Dieser Abschnitt listet weitere Dateibeispiele auf, von denen angenommen wird, dass sie mit dieser Familie in Verbindung stehen.

MD5: 6c444d2977717c00b3dc14b43c35fb2c SHA1: 29082374d2ee64f310252634a07c0399e7685494 SHA256: 72DD52C220607D2C98E53142AA234D3661AAAF672CECA68492ADF868545F1B79 Dateigröße: 971.46 KB, 971456 Bytes

Attribute der portablen Windows-Ausführungsdatei

i

Attribute der portablen Windows-Ausführungsdatei

Dieser Abschnitt listet die in den Familienbeispielen gefundenen Dateiattribute auf. Diese Attribute werden aus der Windows PE-Spezifikation (Portable Executable) der Dateien und verschiedenen Systemflags extrahiert. Die Attribute portabler ausführbarer Dateien geben Malware-Forschern Einblick in die Funktionalität einer Datei, Details zur Ausführung, Plattform und Laufzeitumgebung.

• File doesn't have "Rich" header
• File doesn't have exports table
• File is 64-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Windows PE Versionsinformationen

i

Windows PE Versionsinformationen

Dieser Abschnitt zeigt die Werte und Attribute, die in der Windows-Dateiversionsinformationsstruktur für Beispiele dieser Familie festgelegt wurden. Um Benutzer irrezuführen, fügen Malware-Angreifer häufig gefälschte Versionsinformationen hinzu, die legitime Software imitieren.

Name	Wert
Company Name	Cognosphere
File Description	HoYoPlay
File Version	1.6.0.227
Legal Copyright	Copyright © COGNOSPHERE. All Rights Reserved.
Product Name	HoYoPlay
Product Version	1.6.0.227

Digitale Signaturen

i

Digitale Signaturen

Dieser Abschnitt listet digitale Signaturen auf, die den Samples dieser Familie zugeordnet sind. Bei der Analyse und Überprüfung digitaler Signaturen ist es wichtig sicherzustellen, dass die ausstellende Zertifizierungsstelle eine bekannte und vertrauenswürdige Instanz ist und der Status der Signatur gültig ist. Malware wird häufig mit nicht vertrauenswürdigen, selbstsignierten digitalen Signaturen signiert (die von Malware-Autoren ohne Überprüfung leicht erstellt werden können). Malware kann auch mit legitimen Signaturen signiert sein, die jedoch ungültig sind, sowie mit Signaturen fragwürdiger Zertifizierungsstellen, die gefälschte oder irreführende Namen als „Signierer“ verwenden.

Unterzeichner	Wurzel	Status
COGNOSPHERE PTE. LTD.	DigiCert Trusted Root G4	Hash Mismatch
COGNOSPHERE PTE. LTD.	DigiCert Trusted Root G4	Hash Mismatch

Dateieigenschaften

• x64

Blockinformationen

i

Blockinformationen

Während der Analyse zerlegt EnigmaSoft Dateiproben in logische Blöcke zur Klassifizierung und zum Vergleich mit anderen Proben. Anhand dieser Blöcke lassen sich Regeln zur Malware-Erkennung generieren und Dateiproben basierend auf gemeinsamem Quellcode, Funktionalität und anderen charakteristischen Merkmalen in Familien einteilen. Dieser Abschnitt enthält eine Zusammenfassung dieser Blockdaten sowie deren Klassifizierung durch EnigmaSoft. Sofern verfügbar, wird auch eine visuelle Darstellung der Blockdaten angezeigt.

Gesamtanzahl der Blöcke:	3,312
Potenziell schädliche Blöcke:	12
Zugelassene Blocker:	3,247
Unbekannte Blöcke:	53

Visuelle Karte

... Daten gekürzt

0 – Wahrscheinlich sichere Blockierung
? – Unbekannter Block
x – Potenziell schädliche Sperre

Ähnliche Familien

i

Ähnliche Familien

Dieser Abschnitt listet weitere Malware-Familien auf, die basierend auf der Analyse von EnigmaSoft Ähnlichkeiten mit dieser Familie aufweisen. Viele Malware-Familien werden aus denselben Malware-Toolkits erstellt und verwenden dieselben Pack- und Verschlüsselungstechniken, erweitern ihre Funktionalität jedoch auf einzigartige Weise. Ähnliche Familien können auch Quellcode, Attribute, Symbole, Unterkomponenten, kompromittierte und/oder ungültige digitale Signaturen sowie Netzwerkmerkmale gemeinsam haben. Forscher nutzen diese Ähnlichkeiten, um Dateiproben schnell und effektiv zu priorisieren und Regeln zur Malware-Erkennung zu erweitern.

• Trojan.Metasploit.Gen.ET

Windows-API-Nutzung

i

Windows-API-Nutzung

Dieser Abschnitt listet die von den Beispielen dieser Familie verwendeten Windows-API-Aufrufe auf. Die Analyse der Windows-API-Nutzung ist ein wertvolles Werkzeug zur Erkennung schädlicher Aktivitäten wie Keylogging, Rechteausweitung, Datenverschlüsselung, Datenexfiltration, Manipulation von Antivirensoftware und Netzwerkmanipulation.

Kategorie	API
Syscall Use	ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtQuerySecurityAttributesToken ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtTestAlert ntdll.dll!NtWriteFile UNKNOWN
Anti Debug	OutputDebugString