Trojan.Meterpreter.GB

Trojan.Meterpreter.GB ist ein Trojaner für Windows mit einer Gefahrenstufe von 8 von 10. Trojaner tarnen sich als harmlose Dateien oder verstecken sich in ihnen und laufen unbemerkt auf dem Computer. Laut den Daten wurde dieser Trojaner erstmals am 31.10.2025 und zuletzt am 10.11.2026 erkannt.

Was die Bedrohung bewirkt

Meterpreter.GB installiert sich unbemerkt und läuft im Hintergrund, wo es schädliche Aktionen ausführt. Laut Beschreibung kann es Hackern die vollständige Kontrolle über ein infiziertes System ermöglichen und heimlich Dateien löschen.

Der Name deutet auf Meterpreter hin, eine Fernsteuerungskomponente. Dies ist eine Schlussfolgerung aus dem Namen, keine Tatsache, die aus dem Feed stammt. Bedrohungen dieser Art ermöglichen es Angreifern typischerweise, Befehle auszuführen, Dateien zu durchsuchen und die Vorgänge auf dem System zu beobachten. Behandeln Sie jedes System, bei dem diese Erkennung auftritt, als potenziell von einer anderen Person kontrolliert.

beobachtete technische Merkmale

• Bei dem Beispiel handelt es sich um eine 32-Bit-Windows-DLL mit hoher Entropie. Sie verfügt über eine Exporttabelle, aber keine digitale Signatur, keine Ressourcen, keine Debug-Informationen und keine Sicherheitsinformationen.
• Es ist nicht gepackt und es handelt sich um eine native Anwendung und nicht um eine .NET-Anwendung.
• Es nutzt Systemaufrufe auf niedriger Ebene über ntdll.dll, was eine Möglichkeit darstellt, eng mit dem Betriebssystem zu arbeiten.
• Es verwendet NtUnmapViewOfSection, das in der Analyse unter Prozessmanipulation und -umgehung eingeordnet wird. Außerdem verwendet es NtQuerySystemInformation, das unter Anti-Debugging-Prüfungen kategorisiert wird.
• Es startet neue Prozesse mit CreateProcess. Im beobachteten Fall wurde es über das Windows-Dienstprogramm rundll32 aus dem Download-Ordner des Benutzers gestartet. Dies ist eine gängige Methode, um eine schädliche DLL auszuführen, da eine DLL nicht selbstständig starten kann.

Wie es üblicherweise auf Computer gelangt

Laut dem Feed trifft Meterpreter.GB typischerweise auf folgenden Wegen ein:

• durch Ausnutzung von Systemschwachstellen und Sicherheitslücken;
• durch Software-Downloads von schädlichen Webseiten;
• durch E-Mail-Anhänge aus nicht vertrauenswürdigen Quellen, in der Regel .exe-, .pif-, .avi- und sogar .jpg-Dateien.

Getarnte Dateitypen sind ein typischer Trick. Eine Datei, die wie ein Bild oder ein Video aussieht, kann in Wirklichkeit ein Programm sein.

Risiken für den Nutzer

• Kontrollverlust: Ein Angreifer kann die Kontrolle über den Computer übernehmen.
• Dateibeschädigung: Dateien können ohne Ihr Wissen gelöscht werden.
• Datenschutzgefährdung: Remote-Access-Trojaner ermöglichen typischerweise den Zugriff auf persönliche Dokumente, gespeicherte Anmeldedaten und andere sensible Daten. Der Feed bestätigt dies jedoch nicht für diesen konkreten Fall.
• Weitere Infektion: Ein Trojaner mit Fernsteuerungsfunktion kann typischerweise dazu verwendet werden, weitere Schadsoftware einzuschleusen.

Anzeichen einer Infektion

Die Bedrohung ist so konzipiert, dass sie verborgen bleibt, daher treten möglicherweise keine offensichtlichen Symptome auf. Folgende Anzeichen sind typisch für diese Kategorie und gelten nicht als Bestätigung für diese Erkennung:

• unerwartete Verlangsamungen oder hohe CPU- oder Netzwerkaktivität, wenn Sie nichts tun;
• Dateien, die ohne Erklärung verschwinden oder sich verändern;
• Ungewöhnliche rundll32-Aktivitäten oder unbekannte Prozesse im Task-Manager;
• sich selbstständig ändernde Sicherheitseinstellungen oder Sicherheitstools, die nicht starten;
• Eine kürzlich heruntergeladene oder per E-Mail erhaltene Datei, die beim Öffnen scheinbar keine Funktion hatte.

Wie man sich schützt

1. Halten Sie Windows und Ihre Software auf dem neuesten Stand. Die Ausnutzung von Sicherheitslücken ist ein Hauptinfektionsweg, daher sind Patches wichtig.
2. Seien Sie vorsichtig mit E-Mail-Anhängen. Öffnen Sie keine Dateien von unbekannten Absendern, insbesondere keine .exe- oder .pif-Dateien oder sonstige „Bilder“ oder „Videos“, die zum Ausführen aufgefordert werden.
3. Laden Sie Software nur von offiziellen Quellen herunter. Meiden Sie Webseiten, die gecrackte oder kostenlose Versionen kostenpflichtiger Programme anbieten.
4. In Windows werden Dateierweiterungen angezeigt , damit Sie erkennen können, ob sich hinter einem Bild- oder Videonamen ein Programm verbirgt.
5. Verwenden Sie ein seriöses, aktuelles Anti-Malware-Tool und führen Sie regelmäßig vollständige Scans durch.
6. Verwenden Sie für die tägliche Arbeit ein Standardbenutzerkonto und speichern Sie Sicherungskopien wichtiger Dateien offline oder auf einem separaten Speichermedium.

Wenn Sie vermuten, dass Ihr Computer infiziert ist, trennen Sie ihn vom Internet und führen Sie einen vollständigen Scan mit einem aktuellen Antivirenprogramm durch. Da ein Trojaner wie dieser Unbefugten Fernzugriff ermöglichen kann, ändern Sie anschließend die Passwörter Ihrer wichtigen Konten mit einem anderen, sauberen Gerät.

Analysebericht

Allgemeine Information

Nachname:	Trojan.Meterpreter.GB
Signaturstatus:	No Signature

Bekannte Proben

i

Bekannte Proben

Dieser Abschnitt listet weitere Dateibeispiele auf, von denen angenommen wird, dass sie mit dieser Familie in Verbindung stehen.

MD5: 93c53b8610228e74aaf31560f55d0d00 SHA1: 078677fc081dee45c757b750bf9fad593ebac5de SHA256: 11A5CFED2DC4EF5C197BEBB8E692F7F0EB43BB19216E7CC8688F3D29FA0F716F Dateigröße: 93.18 KB, 93184 Bytes

Attribute der portablen Windows-Ausführungsdatei

i

Attribute der portablen Windows-Ausführungsdatei

Dieser Abschnitt listet die in den Familienbeispielen gefundenen Dateiattribute auf. Diese Attribute werden aus der Windows PE-Spezifikation (Portable Executable) der Dateien und verschiedenen Systemflags extrahiert. Die Attribute portabler ausführbarer Dateien geben Malware-Forschern Einblick in die Funktionalität einer Datei, Details zur Ausführung, Plattform und Laufzeitumgebung.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have resources
• File doesn't have security information
• File has exports table
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed

Show 2 more

• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Dateieigenschaften

• dll
• HighEntropy
• x86

Blockinformationen

i

Blockinformationen

Während der Analyse zerlegt EnigmaSoft Dateiproben in logische Blöcke zur Klassifizierung und zum Vergleich mit anderen Proben. Anhand dieser Blöcke lassen sich Regeln zur Malware-Erkennung generieren und Dateiproben basierend auf gemeinsamem Quellcode, Funktionalität und anderen charakteristischen Merkmalen in Familien einteilen. Dieser Abschnitt enthält eine Zusammenfassung dieser Blockdaten sowie deren Klassifizierung durch EnigmaSoft. Sofern verfügbar, wird auch eine visuelle Darstellung der Blockdaten angezeigt.

Gesamtanzahl der Blöcke:	340
Potenziell schädliche Blöcke:	4
Zugelassene Blocker:	317
Unbekannte Blöcke:	19

Visuelle Karte

0 – Wahrscheinlich sichere Blockierung
? – Unbekannter Block
x – Potenziell schädliche Sperre

Windows-API-Nutzung

i

Windows-API-Nutzung

Dieser Abschnitt listet die von den Beispielen dieser Familie verwendeten Windows-API-Aufrufe auf. Die Analyse der Windows-API-Nutzung ist ein wertvolles Werkzeug zur Erkennung schädlicher Aktivitäten wie Keylogging, Rechteausweitung, Datenverschlüsselung, Datenexfiltration, Manipulation von Antivirensoftware und Netzwerkmanipulation.

Kategorie	API
Syscall Use	ntdll.dll!NtAlpcSendWaitReceivePort ntdll.dll!NtClose ntdll.dll!NtCreateFile ntdll.dll!NtCreateSection ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtMapViewOfSection ntdll.dll!NtOpenFile ntdll.dll!NtOpenKey ntdll.dll!NtOpenProcessToken ntdll.dll!NtQueryAttributesFile Show 18 more ntdll.dll!NtQueryDebugFilterState ntdll.dll!NtQueryInformationProcess ntdll.dll!NtQueryInformationToken ntdll.dll!NtQuerySystemInformationEx ntdll.dll!NtQueryValueKey ntdll.dll!NtQueryVirtualMemory ntdll.dll!NtQueryVolumeInformationFile ntdll.dll!NtReadFile ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationFile ntdll.dll!NtSetInformationProcess ntdll.dll!NtSetInformationVirtualMemory ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtTestAlert ntdll.dll!NtTraceControl ntdll.dll!NtUnmapViewOfSection ntdll.dll!NtWaitForSingleObject ntdll.dll!NtWriteFile
Process Manipulation Evasion	NtUnmapViewOfSection
Process Shell Execute	CreateProcess
Anti Debug	NtQuerySystemInformation

Shell-Befehlsausführung

i

Shell-Befehlsausführung

Dieser Abschnitt listet die Windows-Shell-Befehle auf, die von den in dieser Familie enthaltenen Malware-Beispielen ausgeführt werden. Windows-Shell-Befehle werden häufig von Malware für schädliche Zwecke missbraucht und können verwendet werden, um Sicherheitsberechtigungen zu erweitern, andere Malware herunterzuladen und auszuführen, Sicherheitslücken auszunutzen, Daten zu sammeln und zu exfiltrieren sowie schädliche Aktivitäten zu verschleiern.

C:\WINDOWS\SysWOW64\rundll32.exe C:\WINDOWS\system32\rundll32.exe c:\users\user\downloads\078677fc081dee45c757b750bf9fad593ebac5de_0000093184.,LiQMAxHB