Troyano.Meterpreter.GB

Trojan.Meterpreter.GB es una detección de troyano para Windows con un nivel de peligro de 8 sobre 10. Los troyanos se hacen pasar por archivos inofensivos o se ocultan dentro de ellos, y se ejecutan silenciosamente una vez que se instalan en un ordenador. Según los datos disponibles, esta detección se registró por primera vez el 31/10/2025 y por última vez el 10/11/2026.

Lo que hace la amenaza

Meterpreter.GB se instala sigilosamente y se ejecuta silenciosamente en segundo plano, donde realiza funciones maliciosas. La descripción indica que puede otorgar a los hackers control total sobre un sistema infectado y que puede eliminar archivos de forma encubierta.

El nombre apunta a Meterpreter, un componente de control remoto. Esta es una inferencia basada en el nombre, no una afirmación directa. Este tipo de amenazas generalmente permiten al atacante ejecutar comandos, acceder a archivos y observar lo que sucede en la máquina. Cualquier sistema que presente esta detección debe considerarse potencialmente bajo el control de otra persona.

Características técnicas observadas

• La muestra es una DLL de Windows de 32 bits con alta entropía. Contiene una tabla de exportaciones, pero carece de firma digital, recursos, información de depuración e información de seguridad.
• No está empaquetada y es una aplicación nativa, no una aplicación .NET.
• Utiliza llamadas al sistema de bajo nivel a través de ntdll.dll, lo que permite trabajar cerca del sistema operativo.
• Utiliza NtUnmapViewOfSection, que el análisis agrupa dentro de la manipulación y evasión de procesos. También utiliza NtQuerySystemInformation, que se agrupa dentro de las comprobaciones anti-depuración.
• Inicia nuevos procesos con CreateProcess. En la ejecución observada, se inició mediante la utilidad rundll32 de Windows desde la carpeta Descargas del usuario. Esta es una forma común de ejecutar una DLL maliciosa, ya que una DLL no puede iniciarse por sí sola.

Cómo suele llegar a los ordenadores

El feed indica que Meterpreter.GB suele llegar de estas maneras:

• explotando las vulnerabilidades del sistema y las fallas de seguridad;
• mediante descargas de software desde sitios web maliciosos;
• a través de archivos adjuntos de correo electrónico de fuentes no confiables, generalmente archivos .exe, .pif, .avi e incluso .jpg.

Los archivos con nombres que no corresponden a un tipo de archivo son un truco común. Un archivo que parece una imagen o un vídeo puede ser en realidad un programa.

Riesgos para el usuario

• Pérdida de control: un atacante puede tomar el control del ordenador.
• Daños en los archivos: es posible que se eliminen archivos sin su conocimiento.
• Exposición de privacidad: los troyanos de acceso remoto suelen permitir el acceso a documentos personales, credenciales de inicio de sesión guardadas y otros datos confidenciales. El informe no confirma esta información para esta detección específica.
• Infección adicional: un troyano con control remoto generalmente puede utilizarse para introducir más malware.

Signos de infección

La amenaza está diseñada para permanecer oculta, por lo que puede que no haya síntomas evidentes. Estos signos son típicos de esta categoría y no están confirmados para esta detección:

• ralentizaciones inesperadas o alta actividad de la CPU o de la red cuando no estás haciendo nada;
• archivos que desaparecen o cambian sin explicación;
• Actividad rundll32 desconocida o procesos desconocidos en el Administrador de tareas;
• La configuración de seguridad cambia automáticamente o las herramientas de seguridad no se inician.
• Un archivo descargado o enviado por correo electrónico recientemente que, al abrirlo, parecía no hacer nada.

Cómo mantenerse protegido

1. Mantén Windows y tu software actualizados. La explotación de vulnerabilidades es una de las principales vías de infección, por lo que las actualizaciones son importantes.
2. Tenga cuidado con los archivos adjuntos de correo electrónico. No abra archivos de remitentes desconocidos, especialmente archivos .exe o .pif, ni ninguna "imagen" o "video" que solicite ejecutarse.
3. Descarga software únicamente de fuentes oficiales. Evita los sitios que ofrecen versiones piratas o gratuitas de programas de pago.
4. Muestra las extensiones de archivo en Windows para que puedas detectar un programa oculto tras el nombre de una imagen o un vídeo.
5. Utilice una herramienta antimalware fiable y actualizada , y realice análisis completos con regularidad.
6. Utilice una cuenta de usuario estándar para el trabajo diario y guarde copias de seguridad de los archivos importantes sin conexión o en un almacenamiento aparte.

Si crees que tu ordenador está infectado, desconéctalo de internet y realiza un análisis completo con una herramienta antimalware actualizada. Dado que un troyano como este puede permitir el acceso remoto a terceros, cambia las contraseñas de tus cuentas importantes después, utilizando un dispositivo diferente y limpio.

Reporte de análisis

Información general

Apellido:	Trojan.Meterpreter.GB
Estado de la firma:	No Signature

Muestras conocidas

i

Muestras conocidas

Esta sección enumera otras muestras de archivos que se cree que están asociadas con esta familia.

MD5: 93c53b8610228e74aaf31560f55d0d00 SHA1: 078677fc081dee45c757b750bf9fad593ebac5de SHA256: 11A5CFED2DC4EF5C197BEBB8E692F7F0EB43BB19216E7CC8688F3D29FA0F716F Tamaño del archivo: 93.18 KB, 93184 bytes

Atributos de ejecutables portátiles de Windows

i

Atributos de ejecutables portátiles de Windows

Esta sección enumera los atributos de archivo encontrados en muestras de la misma familia. Estos atributos se extraen de la especificación Windows PE (Portable Executable) de los archivos y de diversas marcas del sistema. Los atributos Portable Executable brindan a los investigadores de malware información sobre la funcionalidad del archivo, los detalles del ejecutable, la plataforma y el entorno de ejecución.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have resources
• File doesn't have security information
• File has exports table
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed

Show 2 more

• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Características de archivo

• dll
• HighEntropy
• x86

Información del bloque

i

Información del bloque

Durante el análisis, EnigmaSoft divide las muestras de archivos en bloques lógicos para su clasificación y comparación con otras muestras. Estos bloques se pueden usar para generar reglas de detección de malware y agrupar las muestras de archivos en familias según su código fuente, funcionalidad y otros atributos y características distintivas. Esta sección presenta un resumen de los datos de estos bloques, así como su clasificación por EnigmaSoft. También se muestra una representación visual de los datos de los bloques, cuando está disponible.

Bloques totales:	340
Bloqueos potencialmente maliciosos:	4
Bloqueos permitidos:	317
Bloques desconocidos:	19

Mapa visual

0 - Bloque seguro probable
? - Bloque desconocido
x - Bloqueo potencialmente malicioso

Uso de la API de Windows

i

Uso de la API de Windows

Esta sección enumera las llamadas a la API de Windows que utilizan las muestras de esta familia. El análisis del uso de la API de Windows es una herramienta valiosa que puede ayudar a identificar actividades maliciosas, como el registro de pulsaciones de teclas, la escalada de privilegios de seguridad, el cifrado de datos, la exfiltración de datos, la interferencia con el software antivirus y la manipulación de solicitudes de red.

Categoría	API
Syscall Use	ntdll.dll!NtAlpcSendWaitReceivePort ntdll.dll!NtClose ntdll.dll!NtCreateFile ntdll.dll!NtCreateSection ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtMapViewOfSection ntdll.dll!NtOpenFile ntdll.dll!NtOpenKey ntdll.dll!NtOpenProcessToken ntdll.dll!NtQueryAttributesFile Show 18 more ntdll.dll!NtQueryDebugFilterState ntdll.dll!NtQueryInformationProcess ntdll.dll!NtQueryInformationToken ntdll.dll!NtQuerySystemInformationEx ntdll.dll!NtQueryValueKey ntdll.dll!NtQueryVirtualMemory ntdll.dll!NtQueryVolumeInformationFile ntdll.dll!NtReadFile ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationFile ntdll.dll!NtSetInformationProcess ntdll.dll!NtSetInformationVirtualMemory ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtTestAlert ntdll.dll!NtTraceControl ntdll.dll!NtUnmapViewOfSection ntdll.dll!NtWaitForSingleObject ntdll.dll!NtWriteFile
Process Manipulation Evasion	NtUnmapViewOfSection
Process Shell Execute	CreateProcess
Anti Debug	NtQuerySystemInformation

Ejecución de comandos de shell

i

Ejecución de comandos de shell

Esta sección enumera los comandos de la consola de Windows que ejecutan las muestras de esta familia. El malware suele utilizar los comandos de la consola de Windows con fines maliciosos, pudiendo emplearlos para elevar privilegios de seguridad, descargar y ejecutar otro malware, explotar vulnerabilidades, recopilar y extraer datos, y ocultar actividades maliciosas.

C:\WINDOWS\SysWOW64\rundll32.exe C:\WINDOWS\system32\rundll32.exe c:\users\user\downloads\078677fc081dee45c757b750bf9fad593ebac5de_0000093184.,LiQMAxHB