قاعدة بيانات التهديد أحصنة طروادة Trojan.ShellcodeRunner.FDF

Trojan.ShellcodeRunner.FDF

بواسطة CagedTech في أحصنة طروادة
تاريخ النشر:

التهديدات بطاقة الأداء

مستوى التهديد: 80 % (عالي)
الروية الأولى: October 23, 2026
اخر ظهور: November 14, 2026
نظام (أنظمة) متأثر: Windows

Trojan.ShellcodeRunner.FDF هو حصان طروادة لنظام ويندوز، ويُصنف ضمن فئة الخطر 8 من 10. رُصد لأول مرة في 23 أكتوبر 2026، وآخر مرة في 14 نوفمبر 2026، حيث سُجلت 7 حالات اكتشاف له. لا يحمل هذا البرنامج توقيعًا رقميًا. تتنكر برامج الطروادة من هذا النوع في هيئة برامج شرعية، وتعمل في الخفاء دون علم المستخدم.

ما يفعله التهديد

بحسب التقرير، يقوم برنامج ShellcodeRunner.FDF بتثبيت نفسه خلسةً ويعمل في الخلفية دون علم المستخدم أثناء قيامه بوظائف خبيثة. وقد يمنح هذا البرنامج المهاجمين سيطرة كاملة على النظام المصاب.

يشير الاسم إلى مُحمِّل شيفرة خبيثة. عادةً ما تقوم البرامج من هذا النوع بتحميل وتشغيل شيفرة إضافية مباشرةً في الذاكرة، والتي بدورها قد تقوم بتنزيل أو تشغيل برامج خبيثة أخرى. لا يُؤكد المصدر نوع الحمولة التي يُقدمها هذا النموذج، لذا اعتبر ذلك سلوكًا نموذجيًا لهذه الفئة.

التفاصيل الفنية من المصدر:

  • الملف عبارة عن ملف تنفيذي أصلي لواجهة المستخدم الرسومية لنظام التشغيل Windows 64 بت، وليس برنامج .NET، وهو غير مضغوط.
  • يستخدم هذا النظام استدعاءات نظام منخفضة المستوى عبر ملف ntdll.dll، بما في ذلك استدعاءات لكتابة الملفات، وتحرير الذاكرة، والاستعلام عن معلومات العمليات. ويُعدّ استدعاء هذه الدوال مباشرةً أسلوبًا يُستخدم عادةً لتجنب المراقبة.
  • يتحقق من وجود مصحح الأخطاء باستخدام IsDebuggerPresent، وهي طريقة نموذجية للبرامج الضارة لعرقلة التحليل.
  • يقرأ معلومات لغة المستخدم ومعلومات كائن المستخدم.
  • قام البرنامج بتعديل ملفين على الأقل، أحدهما ملف بنمط المستند والآخر ملف نصي، في مجلدات تشبه مواقع البرامج الشرعية.

تُظهر معلومات إصدار الملف أنه "Sciapisara Sync" أو "Stuvo Toolkit"، مع تطابق أسماء الشركات ونصوص حقوق النشر. هذا تضليل. فالوصف الاحترافي لا يجعل الملف موثوقًا، خاصةً إذا لم يكن يحمل توقيعًا رقميًا.

كيف تصل عادةً إلى أجهزة الكمبيوتر

تشير المعلومات إلى أن هذا الحصان الطروادي ينتشر في أغلب الأحيان عن طريق:

  • استغلال نقاط الضعف في النظام وعيوب الأمان.
  • تنزيل البرامج من مواقع إلكترونية خبيثة.
  • مرفقات البريد الإلكتروني من مصادر غير موثوقة، وعادةً ما تكون ملفات بصيغة .exe و .pif و .avi وحتى .jpg.

تُعدّ برامج التثبيت المزيفة والأدوات "المجانية" وسيلة شائعة لنشر برامج التجسس الخبيثة بشكل عام. وتُشير قائمة البرامج الضارة إلى عائلات مشابهة مثل Injector.NGC وTrojan.Injector.Gen.KFL، مما يدل على سلوك مماثل في حقن التعليمات البرمجية.

المخاطر التي يتعرض لها المستخدم

نظراً لأن برنامج حصان طروادة قد يمنح المخترقين سيطرة كاملة على النظام، فإن المخاطر جسيمة. تشمل العواقب النموذجية لهذا النوع من الوصول ما يلي:

  • سرقة كلمات المرور، والبيانات المصرفية، والملفات الشخصية.
  • تثبيت برامج ضارة إضافية، مثل برامج الفدية أو برامج التجسس.
  • إجراء تغييرات على الملفات أو حذفها.
  • استخدام الحاسوب في شنّ المزيد من الهجمات.

تشير الملاحظات إلى أن وصف سلوك التهديد يستمر لما هو معروض، لذا فمن الممكن حدوث أفعال ضارة أخرى.

علامات العدوى

صُممت برامج التجسس الخبيثة لتبقى مخفية، لذا قد لا تظهر عليها أعراض واضحة. تشمل العلامات التحذيرية المحتملة، والتي تُعدّ نموذجية لهذه الفئة وليست مؤكدة لهذه العينة، ما يلي:

  • برامج غير مألوفة، مثل تطبيق "Sync" أو "Toolkit" غير معروف، لم تقم بتثبيته.
  • ملفات جديدة أو متغيرة غير متوقعة في مجلدات البرنامج أو البيانات.
  • تباطؤ الأداء أو نشاط الشبكة غير المبرر.
  • إعدادات الأمان التي تتغير من تلقاء نفسها.
  • الحسابات التي تعرض بيانات تسجيل دخول لا تتعرف عليها.

كيفية الحفاظ على الحماية

  • حافظ على تحديث نظام التشغيل ويندوز وجميع برامجك لضمان معالجة الثغرات الأمنية المعروفة.
  • قم بتنزيل البرامج فقط من الموقع الرسمي للناشر.
  • لا تفتح المرفقات من مرسلين مجهولين. كن حذرًا مع الملفات التنفيذية والصور أو مقاطع الفيديو التي تطلب "تشغيلها".
  • تحقق من نوع الملف والتوقيع الرقمي لأي شيء تقوم بتنزيله. يجب ألا تكون الصورة أو الفيديو ملفًا بصيغة .exe أو .pif.
  • استخدم حلاً موثوقاً وحديثاً لمكافحة البرامج الضارة وقم بإجراء عمليات فحص كاملة بانتظام.
  • قم بعمل نسخة احتياطية من الملفات المهمة في موقع غير متصل بشكل دائم بجهاز الكمبيوتر الخاص بك.

إذا كنت تشك بوجود إصابة، فافصل جهاز الكمبيوتر عن الإنترنت، وقم بإجراء فحص كامل للنظام، واحذف أي شيء تم اكتشافه. ثم غيّر كلمات المرور المهمة من جهاز نظيف. إذا كان الجهاز يُستخدم لأغراض مصرفية أو عمل، ففكّر أيضًا في التواصل مع الجهات المعنية.

تقرير التحليل

معلومات عامة

اسم العائلة: Trojan.ShellcodeRunner.FDF
حالة التوقيع: No Signature

عينات معروفة

MD5: 2a5dcdd46376d6ecf02ff98c6b1643b5
SHA1: 15d79c7a23b9870cc4f487199350101f3dbfa285
SHA256: 9005807048E97B49D5DEC776394E9EC9278881106E5ED3948E18A10E7D9655FC
حجم الملف: 725.50 KB,725504 بايت
MD5: 0394213adacba9d39893e131bec6c552
SHA1: 89050434a74c0c43867e9c3c19d8811c5fd89dee
SHA256: DC97435089FBE1F40A56C5D85A81BEA606DB55E735D415923A531D81B6780194
حجم الملف: 700.93 KB,700928 بايت

سمات الملفات التنفيذية المحمولة لنظام التشغيل Windows

  • File doesn't have "Rich" header
  • File doesn't have exports table
  • File doesn't have security information
  • File has TLS information
  • File is 64-bit executable
  • File is either console or GUI application
  • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
  • File is Native application (NOT .NET application)
  • File is not packed
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
Show 1 more
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

أيقونات الملفات

معلومات إصدار Windows PE

اسم قيمة
Comments Stuvo
Company Name
  • Sciapisara Apps
  • Stuvo Inc.
File Description
  • Sciapisara Sync
  • Stuvo Toolkit
File Version
  • 8.14.4.97
  • 8.13.9.0
Internal Name
  • sciapisara-app.exe
  • stuvo-app
Legal Copyright
  • Copyright 2009-2026 Sciapisara Apps. All rights reserved.
  • © 2026 Stuvo Inc.
Original Filename
  • sciapisara-app.exe
  • stuvo-app.exe
Product Name
  • Sciapisara
  • Stuvo
Product Version
  • 8.14.4.97
  • 8.13.9.0

سمات الملف

  • HighEntropy
  • ntdll
  • x64

معلومات عن الكتلة

إجمالي الكتل: 556
الكتل التي يحتمل أن تكون ضارة: 50
الكتل المسموح بها: 445
كتل غير معروفة: 61

خريطة مرئية

0 - كتلة آمنة محتملة
? - كتلة غير معروفة
x - حظر يحتمل أن يكون خبيثًا

عائلات متشابهة

  • Injector.NGC
  • ShellcodeRunner.FDF
  • Trojan.Injector.Gen.KFL

تم تعديل الملفات

ملف صفات
c:\program files (x86)\scary\eellaonk.pdf Generic Write,Read Attributes
c:\programdata\mozilla firefox\szuenkeixooz.txt Generic Write,Read Attributes

استخدام واجهة برمجة تطبيقات ويندوز

فئة واجهة برمجة التطبيقات (API)
Syscall Use
  • ntdll.dll!NtClose
  • ntdll.dll!NtConnectPort
  • ntdll.dll!NtCreateSection
  • ntdll.dll!NtFreeVirtualMemory
  • ntdll.dll!NtMapViewOfSection
  • ntdll.dll!NtOpenFile
  • ntdll.dll!NtOpenKey
  • ntdll.dll!NtOpenKeyEx
  • ntdll.dll!NtOpenProcessToken
  • ntdll.dll!NtOpenSection
Show 23 more
  • ntdll.dll!NtProtectVirtualMemory
  • ntdll.dll!NtQueryAttributesFile
  • ntdll.dll!NtQueryDirectoryFileEx
  • ntdll.dll!NtQueryInformationProcess
  • ntdll.dll!NtQueryInformationToken
  • ntdll.dll!NtQueryKey
  • ntdll.dll!NtQueryPerformanceCounter
  • ntdll.dll!NtQuerySecurityAttributesToken
  • ntdll.dll!NtQueryValueKey
  • ntdll.dll!NtQueryVirtualMemory
  • ntdll.dll!NtReleaseWorkerFactoryWorker
  • ntdll.dll!NtRequestWaitReplyPort
  • ntdll.dll!NtSetEvent
  • ntdll.dll!NtSetInformationProcess
  • ntdll.dll!NtSetInformationThread
  • ntdll.dll!NtSetInformationWorkerFactory
  • ntdll.dll!NtTestAlert
  • ntdll.dll!NtTraceControl
  • ntdll.dll!NtWaitForSingleObject
  • ntdll.dll!NtWaitForWorkViaWorkerFactory
  • ntdll.dll!NtWaitLowEventPair
  • ntdll.dll!NtWriteFile
  • UNKNOWN
Anti Debug
  • IsDebuggerPresent
User Data Access
  • GetUserDefaultLocaleName
  • GetUserObjectInformation