Trojan.ShellcodeRunner.FDF
Cartoncino segnapunti di minaccia
Scheda di valutazione delle minacce di EnigmaSoft
Le EnigmaSoft Threat Scorecard sono rapporti di valutazione per diverse minacce malware che sono state raccolte e analizzate dal nostro team di ricerca. Le EnigmaSoft Threat Scorecard valutano e classificano le minacce utilizzando diverse metriche tra cui fattori di rischio reali e potenziali, tendenze, frequenza, prevalenza e persistenza. Le EnigmaSoft Threat Scorecard vengono aggiornate regolarmente in base ai dati e alle metriche della nostra ricerca e sono utili per un'ampia gamma di utenti di computer, dagli utenti finali che cercano soluzioni per rimuovere il malware dai loro sistemi agli esperti di sicurezza che analizzano le minacce.
Le schede di valutazione delle minacce di EnigmaSoft mostrano una serie di informazioni utili, tra cui:
Classifica di popolarità: la posizione di una particolare minaccia nel database delle minacce di EnigmaSoft.
Livello di gravità: il livello di gravità determinato di un oggetto, rappresentato numericamente, in base al nostro processo di modellazione del rischio e alla nostra ricerca, come spiegato nei nostri criteri di valutazione delle minacce .
Computer infetti: il numero di casi confermati e sospetti di una particolare minaccia rilevati su computer infetti come riportato da SpyHunter.
Vedere anche Criteri di valutazione delle minacce .
| Livello di minaccia: | 80 % (Alto) |
| Visto per la prima volta: | October 23, 2026 |
| Ultima visualizzazione: | November 14, 2026 |
| Sistemi operativi interessati: | Windows |
Trojan.ShellcodeRunner.FDF è un Trojan per Windows con un livello di pericolosità pari a 8 su 10. È stato rilevato per la prima volta il 23/10/2026 e più recentemente il 14/11/2026, con 7 rilevamenti registrati nel feed. Non possiede una firma digitale. I Trojan come questo si spacciano per software legittimi e operano silenziosamente in background.
Sommario
Cosa fa la minaccia
Secondo quanto riportato, ShellcodeRunner.FDF si installa in modo furtivo e viene eseguito silenziosamente in background mentre svolge funzioni dannose. Potrebbe consentire agli aggressori di ottenere il controllo completo di un sistema infetto.
Il nome indica un caricatore di shellcode. Programmi di questo tipo in genere caricano ed eseguono codice aggiuntivo direttamente in memoria, che può poi scaricare o avviare altro malware. Il feed non conferma quale payload venga distribuito da questo campione, quindi è opportuno considerarlo un comportamento tipico per questa categoria.
Dettagli tecnici dal feed:
- Il file è un eseguibile nativo a 64 bit con interfaccia grafica per Windows, non un programma .NET, e non è compresso.
- Utilizza chiamate di sistema di basso livello tramite ntdll.dll, incluse chiamate per la scrittura di file, la liberazione della memoria e l'interrogazione di informazioni sui processi. La chiamata diretta di queste funzioni è una tecnica tipicamente utilizzata per evitare il monitoraggio.
- Il programma verifica la presenza di un debugger utilizzando la funzione IsDebuggerPresent, un metodo tipico impiegato dai malware per ostacolare l'analisi.
- Legge le informazioni relative alle impostazioni locali dell'utente e agli oggetti utente.
- Ha modificato almeno due file, un file in formato documento e un file di testo, in cartelle che assomigliano a posizioni di installazione di software legittimi.
Le informazioni sulla versione del file lo presentano come "Sciapisara Sync" o "Stuvo Toolkit", con nomi di aziende e testo di copyright corrispondenti. Si tratta di un travestimento. Una descrizione dall'aspetto professionale non rende un file affidabile, soprattutto se privo di firma digitale.
Come di solito finisce sui computer
Il feed afferma che questo Trojan si diffonde più spesso tramite:
- Sfruttamento delle vulnerabilità del sistema e delle falle di sicurezza.
- Download di software da siti web dannosi.
- Allegati di posta elettronica provenienti da fonti non attendibili, solitamente file .exe, .pif, .avi e persino .jpg.
I falsi programmi di installazione e gli strumenti "gratuiti" rappresentano una tipica via di diffusione per i Trojan in generale. Il feed elenca famiglie correlate come Injector.NGC e Trojan.Injector.Gen.KFL, il che suggerisce un comportamento di iniezione di codice simile.
Rischi per l’utente
Poiché il Trojan può dare agli hacker il pieno controllo del sistema, i rischi sono seri. Le conseguenze tipiche di questo tipo di accesso includono:
- Furto di password, dati bancari e file personali.
- Installazione di malware aggiuntivo, come ransomware o spyware.
- Modifiche o eliminazione di file.
- Utilizzo del computer per ulteriori attacchi.
Il feed segnala che la descrizione del comportamento della minaccia va oltre quanto mostrato, pertanto sono possibili altre azioni dannose.
Segni di infezione
I trojan sono progettati per rimanere nascosti, quindi potrebbero non esserci sintomi evidenti. Possibili segnali di allarme, tipici di questa categoria ma non confermati per questo campione, includono:
- Programmi sconosciuti, come ad esempio un'applicazione "Sync" o "Toolkit" che non hai installato.
- Nuovi file o file modificati inaspettatamente nelle cartelle di programmi o dati.
- Prestazioni più lente o attività di rete inspiegabili.
- Impostazioni di sicurezza che si modificano automaticamente.
- Account che mostrano credenziali di accesso che non riconosci.
Come proteggersi
- Mantieni Windows e tutti i tuoi software aggiornati in modo che le vulnerabilità note vengano corrette.
- Scarica il software esclusivamente dal sito web ufficiale dell'editore.
- Non aprire allegati provenienti da mittenti sconosciuti. Fai attenzione ai file eseguibili e alle immagini o ai video che ti chiedono di "eseguire".
- Verifica il tipo di file e la firma digitale di tutto ciò che scarichi. Un'immagine o un video non dovrebbero mai essere file .exe o .pif.
- Utilizza una soluzione antimalware affidabile e aggiornata ed esegui scansioni complete regolarmente.
- Esegui il backup dei file importanti in una posizione non permanentemente connessa al tuo computer.
Se sospetti un'infezione, disconnetti il computer da Internet, esegui una scansione completa del sistema e rimuovi tutto ciò che viene rilevato. Quindi, cambia le password importanti utilizzando un dispositivo pulito. Se il computer è stato utilizzato per operazioni bancarie o per lavoro, valuta anche la possibilità di contattare i relativi fornitori di servizi.
Rapporto di analisi
Informazione Generale
| Cognome: | Trojan.ShellcodeRunner.FDF |
|---|---|
| Stato della firma: | No Signature |
Campioni noti
Campioni noti
Questa sezione elenca altri campioni di file che si ritiene siano associati a questa famiglia.|
MD5:
2a5dcdd46376d6ecf02ff98c6b1643b5
SHA1:
15d79c7a23b9870cc4f487199350101f3dbfa285
SHA256:
9005807048E97B49D5DEC776394E9EC9278881106E5ED3948E18A10E7D9655FC
Dimensione del file:
725.50 KB.725504 byte
|
|
MD5:
0394213adacba9d39893e131bec6c552
SHA1:
89050434a74c0c43867e9c3c19d8811c5fd89dee
SHA256:
DC97435089FBE1F40A56C5D85A81BEA606DB55E735D415923A531D81B6780194
Dimensione del file:
700.93 KB.700928 byte
|
Attributi di Windows Portable Executable
- File doesn't have "Rich" header
- File doesn't have exports table
- File doesn't have security information
- File has TLS information
- File is 64-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
Show 1 more
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Icone dei file
Icone dei file
Questa sezione mostra le risorse delle icone trovate all'interno dei campioni della famiglia. Il malware spesso replica le icone comunemente associate ai software legittimi per indurre gli utenti a credere che il malware sia sicuro.
Informazioni sulla versione di Windows PE
Informazioni sulla versione di Windows PE
Questa sezione mostra i valori e gli attributi impostati nella struttura dati delle informazioni sulla versione dei file di Windows per i campioni di questa famiglia. Per ingannare gli utenti, gli autori di malware spesso aggiungono informazioni di versione false che imitano software legittimi.| Nome | Valore |
|---|---|
| Comments | Stuvo |
| Company Name |
|
| File Description |
|
| File Version |
|
| Internal Name |
|
| Legal Copyright |
|
| Original Filename |
|
| Product Name |
|
| Product Version |
|
Caratteristiche dei file
- HighEntropy
- ntdll
- x64
Informazioni sul blocco
Informazioni sul blocco
Durante l'analisi, EnigmaSoft suddivide i campioni di file in blocchi logici per la classificazione e il confronto con altri campioni. I blocchi possono essere utilizzati per generare regole di rilevamento del malware e per raggruppare i campioni di file in famiglie in base al codice sorgente condiviso, alla funzionalità e ad altri attributi e caratteristiche distintive. Questa sezione elenca un riepilogo dei dati dei blocchi, nonché la loro classificazione da parte di EnigmaSoft. Viene inoltre visualizzata una rappresentazione grafica dei dati dei blocchi, ove disponibile.| Blocchi totali: | 556 |
|---|---|
| Blocchi potenzialmente dannosi: | 50 |
| Blocchi consentiti: | 445 |
| Blocchi sconosciuti: | 61 |
Mappa visiva
? - Blocco sconosciuto
x - Blocco potenzialmente dannoso
Famiglie simili
Famiglie simili
Questa sezione elenca altre famiglie che presentano similitudini con questa famiglia, sulla base dell'analisi di EnigmaSoft. Molte famiglie di malware sono create a partire dagli stessi toolkit e utilizzano le stesse tecniche di compressione e crittografia, ma ne estendono le funzionalità in modo univoco. Famiglie simili possono anche condividere codice sorgente, attributi, icone, sottocomponenti, firme digitali compromesse e/o non valide e caratteristiche di rete. I ricercatori sfruttano queste somiglianze per analizzare rapidamente ed efficacemente i campioni di file ed estendere le regole di rilevamento del malware.- Injector.NGC
- ShellcodeRunner.FDF
- Trojan.Injector.Gen.KFL
File modificati
File modificati
Questa sezione elenca i file creati, modificati, spostati e/o eliminati dai campioni di questa famiglia. L'attività del file system può fornire preziose informazioni sul funzionamento del malware sul sistema operativo.| File | Attributi |
|---|---|
| c:\program files (x86)\scary\eellaonk.pdf | Generic Write,Read Attributes |
| c:\programdata\mozilla firefox\szuenkeixooz.txt | Generic Write,Read Attributes |
Utilizzo delle API di Windows
Utilizzo delle API di Windows
Questa sezione elenca le chiamate API di Windows utilizzate dagli esempi di questa famiglia. L'analisi dell'utilizzo delle API di Windows è uno strumento prezioso che può aiutare a identificare attività dannose, come keylogging, escalation dei privilegi di sicurezza, crittografia dei dati, esfiltrazione di dati, interferenza con software antivirus e manipolazione delle richieste di rete.| Categoria | API |
|---|---|
| Syscall Use |
Show 23 more
|
| Anti Debug |
|
| User Data Access |
|