Troyano.Metasploit.Gen.ET

Trojan.Metasploit.Gen.ET es una detección genérica de un troyano que ataca a equipos con Windows. Tiene un nivel de peligro de 8 sobre 10. Se detectó por primera vez el 23/08/2026 y por última vez el 28/08/2026. Hasta el momento, solo se ha registrado una detección, por lo que la información es limitada. Es importante comprender los detalles a continuación, especialmente si ha instalado o actualizado recientemente un lanzador de juegos.

Lo que hace la amenaza

Según la información disponible, este troyano se instala sigilosamente y se ejecuta en segundo plano, realizando funciones maliciosas sin que el usuario se dé cuenta. Esto podría permitir a los atacantes obtener el control total del sistema infectado. Los troyanos de este tipo se suelen utilizar para ejecutar comandos de forma remota, descargar malware adicional o espiar al usuario. El nombre sugiere una conexión con Metasploit, un conjunto de herramientas para pruebas de penetración. Las detecciones genéricas con este nombre suelen utilizarse para payloads creados con dichas herramientas, pero la información no confirma con exactitud qué hace esta muestra tras su ejecución.

Aspecto del archivo analizado

• Se trata de un ejecutable de interfaz gráfica de usuario (GUI) de Windows de 64 bits, nativo (no .NET), que no está empaquetado.
• La información de su versión la describe como "HoYoPlay" versión 1.6.0.227 de Cognosphere.
• Su cadena de firma digital se denomina COGNOSPHERE PTE. LTD. y tiene una raíz DigiCert, pero el estado de la firma es "Hash Mismatch" .
• De los 3.312 bloques analizados, 12 fueron marcados como potencialmente maliciosos, 53 eran de naturaleza desconocida y 3.247 fueron incluidos en la lista blanca.
• Utiliza llamadas al sistema de bajo nivel a través de ntdll.dll y llama a OutputDebugString, una API que normalmente se asocia con comprobaciones anti-depuración.

Una discrepancia en el hash significa que el contenido del archivo no coincide con el propósito de la firma. Esto suele ocurrir cuando un archivo se ha modificado después de firmarlo o está dañado. El feed no especifica cuál de las dos situaciones se aplica aquí. También es posible que la detección sea un falso positivo, ya que el archivo se presenta como una aplicación conocida. Trate el archivo con precaución hasta que lo verifique.

Cómo suele llegar a los ordenadores

Según la información disponible, este troyano suele llegar aprovechando vulnerabilidades del sistema y fallos de seguridad. También puede propagarse mediante descargas de software desde sitios web maliciosos o a través de archivos adjuntos de correo electrónico de fuentes no confiables. Los archivos adjuntos suelen ser .exe, .pif, .avi o incluso .jpg. Suplantar la identidad de una aplicación popular, como hace este archivo con sus detalles de versión, es una táctica común. Los usuarios descargan lo que parece ser un lanzador o una actualización normal desde una fuente no oficial.

Riesgos para el usuario

• Control remoto total de su PC por parte de un atacante.
• Robo de contraseñas, archivos personales y datos de cuentas (típico de los troyanos con acceso remoto).
• Instalación de software malicioso adicional.
• Pérdida de privacidad y posibles perjuicios económicos si se exponen las cuentas bancarias o de juego.

Signos de infección

El informe indica que el troyano se ejecuta silenciosamente, por lo que puede que no presente síntomas evidentes. Las señales de alerta típicas para este tipo de amenaza incluyen:

• Ralentizaciones inexplicables o alta actividad de la CPU o de la red.
• Procesos desconocidos ejecutándose en el Administrador de tareas.
• El software de seguridad se desactiva o la configuración cambia automáticamente.
• Inicios de sesión o compras en tus cuentas que no hayas realizado.
• Un lanzador o una aplicación que se comporta de forma diferente, o una advertencia de que su firma digital no es válida.

Cómo mantenerse protegido

1. Descarga el software únicamente desde el sitio web oficial del editor o una tienda de confianza, nunca desde sitios espejo de terceros ni desde enlaces en mensajes.
2. No abra archivos adjuntos inesperados, aunque parezcan imágenes o vídeos.
3. Mantén Windows y todos los programas actualizados para corregir las vulnerabilidades que explotan estos troyanos.
4. Comprueba la firma digital del archivo en sus propiedades. Si Windows indica una firma no válida o incorrecta, no lo ejecutes.
5. Si detecta este problema, desconéctese de Internet, realice un análisis completo con una herramienta de seguridad actualizada y de buena reputación, y ponga en cuarentena o elimine lo que encuentre.
6. Si el archivo pudo haberse ejecutado en su PC, cambie las contraseñas importantes desde un dispositivo limpio y habilite la autenticación de dos factores.
7. Si sospecha que el archivo es un programa legítimo que ha sido marcado por error, reinstale la aplicación desde la fuente oficial y vuelva a escanear.

Dado el alto nivel de peligro y la discrepancia en la firma, lo más seguro es asumir que el archivo no es fiable hasta que haya sido verificado.

Reporte de análisis

Información general

Apellido:	Trojan.Metasploit.Gen.ET
Estado de la firma:	Hash Mismatch

Muestras conocidas

i

Muestras conocidas

Esta sección enumera otras muestras de archivos que se cree que están asociadas con esta familia.

MD5: 6c444d2977717c00b3dc14b43c35fb2c SHA1: 29082374d2ee64f310252634a07c0399e7685494 SHA256: 72DD52C220607D2C98E53142AA234D3661AAAF672CECA68492ADF868545F1B79 Tamaño del archivo: 971.46 KB, 971456 bytes

Atributos de ejecutables portátiles de Windows

i

Atributos de ejecutables portátiles de Windows

Esta sección enumera los atributos de archivo encontrados en muestras de la misma familia. Estos atributos se extraen de la especificación Windows PE (Portable Executable) de los archivos y de diversas marcas del sistema. Los atributos Portable Executable brindan a los investigadores de malware información sobre la funcionalidad del archivo, los detalles del ejecutable, la plataforma y el entorno de ejecución.

• File doesn't have "Rich" header
• File doesn't have exports table
• File is 64-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Información de la versión de Windows PE

i

Información de la versión de Windows PE

Esta sección muestra los valores y atributos que se han configurado en la estructura de datos de información de versión de archivos de Windows para las muestras de esta familia. Para engañar a los usuarios, los ciberdelincuentes suelen añadir información de versión falsa que imita a software legítimo.

Nombre	Valor
Company Name	Cognosphere
File Description	HoYoPlay
File Version	1.6.0.227
Legal Copyright	Copyright © COGNOSPHERE. All Rights Reserved.
Product Name	HoYoPlay
Product Version	1.6.0.227

Firmas digitales

i

Firmas digitales

Esta sección enumera las firmas digitales adjuntas a las muestras de esta familia. Al analizar y verificar las firmas digitales, es importante confirmar que la autoridad raíz de la firma sea una entidad reconocida y confiable, y que su estado sea válido. El malware suele firmarse con firmas digitales autofirmadas no confiables (que un autor de malware puede crear fácilmente sin verificación). También puede firmarse con firmas legítimas con un estado inválido, o con firmas de autoridades raíz dudosas con nombres de firmantes falsos o engañosos.

Firmante	Raíz	Estado
COGNOSPHERE PTE. LTD.	DigiCert Trusted Root G4	Hash Mismatch
COGNOSPHERE PTE. LTD.	DigiCert Trusted Root G4	Hash Mismatch

Características de archivo

• x64

Información del bloque

i

Información del bloque

Durante el análisis, EnigmaSoft divide las muestras de archivos en bloques lógicos para su clasificación y comparación con otras muestras. Estos bloques se pueden usar para generar reglas de detección de malware y agrupar las muestras de archivos en familias según su código fuente, funcionalidad y otros atributos y características distintivas. Esta sección presenta un resumen de los datos de estos bloques, así como su clasificación por EnigmaSoft. También se muestra una representación visual de los datos de los bloques, cuando está disponible.

Bloques totales:	3,312
Bloqueos potencialmente maliciosos:	12
Bloqueos permitidos:	3,247
Bloques desconocidos:	53

Mapa visual

... Datos truncados

0 - Bloque seguro probable
? - Bloque desconocido
x - Bloqueo potencialmente malicioso

Familias similares

i

Familias similares

Esta sección enumera otras familias que comparten similitudes con esta familia, según el análisis de EnigmaSoft. Muchas familias de malware se crean a partir de los mismos kits de herramientas y utilizan las mismas técnicas de empaquetado y cifrado, pero extienden su funcionalidad de forma única. Familias similares también pueden compartir código fuente, atributos, iconos, subcomponentes, firmas digitales comprometidas o inválidas y características de red. Los investigadores aprovechan estas similitudes para clasificar rápidamente y de forma eficaz las muestras de archivos y ampliar las reglas de detección de malware.

• Trojan.Metasploit.Gen.ET

Uso de la API de Windows

i

Uso de la API de Windows

Esta sección enumera las llamadas a la API de Windows que utilizan las muestras de esta familia. El análisis del uso de la API de Windows es una herramienta valiosa que puede ayudar a identificar actividades maliciosas, como el registro de pulsaciones de teclas, la escalada de privilegios de seguridad, el cifrado de datos, la exfiltración de datos, la interferencia con el software antivirus y la manipulación de solicitudes de red.

Categoría	API
Syscall Use	ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtQuerySecurityAttributesToken ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtTestAlert ntdll.dll!NtWriteFile UNKNOWN
Anti Debug	OutputDebugString