트로이목마.셸코드러너.FDF
위협 스코어카드
EnigmaSoft 위협 스코어카드
EnigmaSoft Threat Scorecard는 당사 연구팀이 수집 및 분석한 다양한 악성코드 위협에 대한 평가 보고서입니다. EnigmaSoft Threat Scorecard는 실제 및 잠재적 위험 요인, 추세, 빈도, 확산 및 지속성을 포함한 여러 메트릭을 사용하여 위협을 평가하고 순위를 지정합니다. EnigmaSoft Threat Scorecard는 당사의 연구 데이터 및 메트릭을 기반으로 정기적으로 업데이트되며 시스템에서 맬웨어를 제거하기 위한 솔루션을 찾는 최종 사용자부터 위협을 분석하는 보안 전문가에 이르기까지 광범위한 컴퓨터 사용자에게 유용합니다.
EnigmaSoft Threat Scorecard는 다음과 같은 다양한 유용한 정보를 표시합니다.
인기 순위: EnigmaSoft의 위협 데이터베이스에서 특정 위협이 차지하는 순위입니다.
심각도 수준: 위협 평가 기준 에 설명된 대로 위험 모델링 프로세스 및 연구를 기반으로 숫자로 표시된 개체의 결정된 심각도 수준입니다.
감염된 컴퓨터: SpyHunter에서 보고한 감염된 컴퓨터에서 탐지된 특정 위협의 확인 및 의심 사례 수입니다.
위협 평가 기준 도 참조하십시오.
| 위협 수준: | 80 % (높은) |
| 처음 본 것: | October 23, 2026 |
| 마지막으로 본: | November 14, 2026 |
| 영향을 받는 OS: | Windows |
Trojan.ShellcodeRunner.FDF는 위험도가 10점 만점에 8점인 Windows 트로이 목마입니다. 이 악성 프로그램은 2026년 10월 23일에 처음 발견되었고, 가장 최근에는 2026년 11월 14일에 발견되었으며, 총 7건이 탐지되었습니다. 디지털 서명은 없습니다. 이와 같은 트로이 목마는 정상적인 소프트웨어로 위장하여 백그라운드에서 조용히 작동합니다.
목차
위협이 하는 일
해당 정보에 따르면 ShellcodeRunner.FDF는 은밀하게 설치되어 백그라운드에서 조용히 실행되면서 악성 기능을 수행합니다. 감염된 시스템은 공격자에게 완전한 제어권을 부여할 수 있습니다.
이름에서 알 수 있듯이, 이 프로그램은 셸코드 로더입니다. 이러한 유형의 프로그램은 일반적으로 추가 코드를 메모리에 직접 로드하여 실행하며, 이를 통해 다른 악성코드를 다운로드하거나 실행할 수 있습니다. 해당 샘플이 어떤 페이로드를 전달하는지는 확인되지 않았으므로, 이는 해당 유형의 프로그램에서 흔히 나타나는 동작으로 간주해야 합니다.
피드에서 가져온 기술 세부 정보:
- 해당 파일은 .NET 프로그램이 아닌 64비트 네이티브 Windows GUI 실행 파일이며, 압축되어 있지 않습니다.
- 이 프로그램은 ntdll.dll을 통해 파일 쓰기, 메모리 해제, 프로세스 정보 조회 등과 같은 저수준 시스템 호출을 사용합니다. 이러한 함수를 직접 호출하는 것은 일반적으로 모니터링을 피하기 위해 사용되는 기법입니다.
- 이 코드는 IsDebuggerPresent를 사용하여 디버거가 있는지 확인하는데, 이는 악성코드가 분석을 방해하는 일반적인 방법입니다.
- 사용자 로케일 및 사용자 객체 정보를 읽습니다.
- 해당 악성 프로그램은 정상적인 소프트웨어 위치와 유사한 폴더에 있는 문서 형식 파일과 텍스트 파일 등 최소 두 개의 파일을 수정했습니다.
해당 파일의 버전 정보에는 "Sciapisara Sync" 또는 "Stuvo Toolkit"이라는 이름과 일치하는 회사명 및 저작권 표시가 나와 있습니다. 하지만 이는 위장입니다. 전문적인 설명이 있다고 해서 파일의 신뢰성이 보장되는 것은 아니며, 특히 디지털 서명이 없는 경우에는 더욱 그렇습니다.
일반적으로 컴퓨터에 침투하는 경로
해당 정보에 따르면 이 트로이 목마는 주로 다음과 같은 경로로 확산됩니다.
- 시스템 취약점과 보안 결함을 악용하는 행위.
- 악성 웹사이트에서 소프트웨어를 다운로드하는 행위.
- 출처가 불분명한 이메일 첨부 파일은 일반적으로 .exe, .pif, .avi, 심지어 .jpg 파일입니다.
가짜 설치 프로그램과 "무료" 도구는 일반적으로 트로이 목마를 유포하는 데 사용되는 전형적인 경로입니다. 해당 피드에는 Injector.NGC 및 Trojan.Injector.Gen.KFL과 같은 관련 계열이 나열되어 있는데, 이는 유사한 코드 삽입 동작을 시사합니다.
사용자에게 미치는 위험
트로이 목마는 해커에게 시스템에 대한 완전한 제어권을 부여할 수 있으므로 위험성이 매우 높습니다. 이러한 접근으로 인해 발생하는 일반적인 결과는 다음과 같습니다.
- 비밀번호, 은행 정보 및 개인 파일 도난.
- 랜섬웨어 또는 스파이웨어와 같은 추가 악성 소프트웨어 설치.
- 파일 변경 또는 삭제.
- 컴퓨터를 이용한 추가 공격.
해당 피드는 위협의 행동 양식에 대한 설명이 표시된 내용보다 더 이어지므로 다른 유해한 행동이 발생할 가능성이 있다고 언급합니다.
감염 징후
트로이 목마는 숨어 있도록 설계되었기 때문에 뚜렷한 증상이 없을 수 있습니다. 이 샘플에서 확인된 것은 아니지만, 이 유형의 악성코드에서 흔히 나타나는 경고 신호는 다음과 같습니다.
- 사용자가 설치하지 않은 알 수 없는 프로그램(예: "Sync" 또는 "Toolkit" 애플리케이션)이 있을 수 있습니다.
- 프로그램 또는 데이터 폴더에 예기치 않은 새 파일이나 변경된 파일이 있습니다.
- 성능 저하 또는 원인을 알 수 없는 네트워크 활동.
- 보안 설정이 자동으로 변경됩니다.
- 알 수 없는 로그인 내역이 표시되는 계정입니다.
자신을 보호하는 방법
- 알려진 취약점이 패치되도록 Windows와 모든 소프트웨어를 최신 상태로 유지하십시오.
- 소프트웨어는 반드시 퍼블리셔의 공식 웹사이트에서만 다운로드하십시오.
- 알 수 없는 발신자가 보낸 첨부 파일은 열지 마십시오. 실행 파일이나 "실행"을 요구하는 이미지 또는 동영상 파일은 특히 주의하십시오.
- 다운로드하는 모든 파일의 파일 형식과 디지털 서명을 확인하세요. 사진이나 동영상 파일은 절대 .exe 또는 .pif 파일이어서는 안 됩니다.
- 신뢰할 수 있고 최신 버전의 악성코드 방지 솔루션을 사용하고 정기적으로 전체 검사를 실행하십시오.
- 중요 파일은 컴퓨터에 영구적으로 연결되어 있지 않은 위치에 백업하십시오.
바이러스 감염이 의심되면 컴퓨터의 인터넷 연결을 끊고 전체 시스템 검사를 실행하여 발견된 모든 악성 프로그램을 제거하십시오. 그런 다음 안전한 다른 기기에서 중요한 비밀번호를 변경하세요. 해당 컴퓨터를 은행 업무나 회사 업무에 사용했다면 관련 서비스 제공업체에 문의하는 것도 고려해 보세요.
분석 보고서
일반 정보
| 성씨: | Trojan.ShellcodeRunner.FDF |
|---|---|
| 서명 상태: | No Signature |
알려진 샘플
알려진 샘플
이 섹션에는 이 가족과 연관된 것으로 추정되는 다른 파일 샘플이 나열되어 있습니다.|
MD5:
2a5dcdd46376d6ecf02ff98c6b1643b5
샤1:
15d79c7a23b9870cc4f487199350101f3dbfa285
샤256:
9005807048E97B49D5DEC776394E9EC9278881106E5ED3948E18A10E7D9655FC
파일 크기:
725.50 KB,725504 바이트
|
|
MD5:
0394213adacba9d39893e131bec6c552
샤1:
89050434a74c0c43867e9c3c19d8811c5fd89dee
샤256:
DC97435089FBE1F40A56C5D85A81BEA606DB55E735D415923A531D81B6780194
파일 크기:
700.93 KB,700928 바이트
|
Windows 휴대용 실행 파일 속성
- File doesn't have "Rich" header
- File doesn't have exports table
- File doesn't have security information
- File has TLS information
- File is 64-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
Show 1 more
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
파일 아이콘
파일 아이콘
이 섹션에는 패밀리 샘플에서 발견된 아이콘 리소스가 표시됩니다. 악성 프로그램은 종종 정식 소프트웨어와 관련된 아이콘을 복제하여 사용자가 악성 프로그램이 안전하다고 착각하도록 만듭니다.
Windows PE 버전 정보
Windows PE 버전 정보
이 섹션에서는 이 제품군에 속하는 샘플에 대해 Windows 파일 버전 정보 데이터 구조에 설정된 값과 속성을 표시합니다. 악성코드 공격자는 사용자를 속이기 위해 종종 정품 소프트웨어를 모방한 가짜 버전 정보를 추가합니다.| 이름 | 값 |
|---|---|
| Comments | Stuvo |
| Company Name |
|
| File Description |
|
| File Version |
|
| Internal Name |
|
| Legal Copyright |
|
| Original Filename |
|
| Product Name |
|
| Product Version |
|
파일 특성
- HighEntropy
- ntdll
- x64
블록 정보
블록 정보
EnigmaSoft는 분석 과정에서 파일 샘플을 논리적 블록으로 분할하여 다른 샘플과 분류 및 비교합니다. 이러한 블록은 악성코드 탐지 규칙을 생성하고, 공유 소스 코드, 기능 및 기타 특징적인 속성을 기반으로 파일 샘플을 패밀리로 그룹화하는 데 사용될 수 있습니다. 이 섹션에서는 해당 블록 데이터의 요약과 EnigmaSoft의 분류 결과를 제공합니다. 가능한 경우 블록 데이터의 시각적 표현도 함께 표시됩니다.| 총 블록 수: | 556 |
|---|---|
| 잠재적으로 악의적인 차단: | 50 |
| 허용된 블록: | 445 |
| 알 수 없는 블록: | 61 |
시각적 지도
? - 알 수 없는 블록
x - 잠재적으로 악의적인 차단
비슷한 가족
비슷한 가족
이 섹션에서는 EnigmaSoft의 분석을 기반으로 이 악성코드 계열과 유사점을 공유하는 다른 계열들을 나열합니다. 많은 악성코드 계열은 동일한 악성코드 툴킷을 기반으로 제작되고 동일한 패킹 및 암호화 기술을 사용하지만, 기능 확장에 있어 고유한 특징을 가지고 있습니다. 유사한 계열은 소스 코드, 속성, 아이콘, 하위 구성 요소, 손상되었거나 유효하지 않은 디지털 서명, 네트워크 특성 등을 공유할 수도 있습니다. 연구원들은 이러한 유사점을 활용하여 파일 샘플을 신속하고 효과적으로 분류하고 악성코드 탐지 규칙을 확장합니다.- Injector.NGC
- ShellcodeRunner.FDF
- Trojan.Injector.Gen.KFL
수정된 파일
수정된 파일
이 섹션에는 이 계열의 샘플들이 생성, 수정, 이동 및/또는 삭제한 파일 목록이 나와 있습니다. 파일 시스템 활동은 악성코드가 운영체제에서 어떻게 작동하는지에 대한 중요한 정보를 제공할 수 있습니다.| 파일 | 속성 |
|---|---|
| c:\program files (x86)\scary\eellaonk.pdf | Generic Write,Read Attributes |
| c:\programdata\mozilla firefox\szuenkeixooz.txt | Generic Write,Read Attributes |
Windows API 사용법
Windows API 사용법
이 섹션에서는 이 제품군의 샘플에서 사용되는 Windows API 호출 목록을 제공합니다. Windows API 사용 분석은 키로깅, 보안 권한 상승, 데이터 암호화, 데이터 유출, 바이러스 백신 소프트웨어 방해, 네트워크 요청 조작과 같은 악의적인 활동을 식별하는 데 유용한 도구입니다.| 범주 | API |
|---|---|
| Syscall Use |
Show 23 more
|
| Anti Debug |
|
| User Data Access |
|