Trojan.ShellcodeRunner.FDF
Cartão de pontuação de ameaças
EnigmaSoft Threat Scorecard
Os EnigmaSoft Threat Scorecards são relatórios de avaliação para diferentes ameaças de malware que foram coletadas e analisadas por nossa equipe de pesquisa. Os Scorecards de Ameaças da EnigmaSoft avaliam e classificam as ameaças usando várias métricas, incluindo fatores de risco reais e potenciais, tendências, frequência, prevalência e persistência. Os Scorecards de Ameaças da EnigmaSoft são atualizados regularmente com base em nossos dados e métricas de pesquisa e são úteis para uma ampla gama de usuários de computador, desde usuários finais que buscam soluções para remover malware de seus sistemas até especialistas em segurança que analisam ameaças.
Os Scorecards de Ameaças da EnigmaSoft exibem uma variedade de informações úteis, incluindo:
Classificação de Popularidade: A classificação de uma ameaça específica no Banco de Dados de Ameaças da EnigmaSoft.
Nível de gravidade: O nível de gravidade determinado de um objeto, representado numericamente, com base em nosso processo de modelagem de risco e pesquisa, conforme explicado em nossos Critérios de Avaliação de Ameaças .
Computadores infectados: O número de casos confirmados e suspeitos de uma determinada ameaça detectada em computadores infectados conforme relatado pelo SpyHunter.
Consulte também Critérios de Avaliação de Ameaças .
| Nível da Ameaça: | 80 % (Alto) |
| Visto pela Primeira Vez: | October 23, 2026 |
| Visto pela Última Vez: | November 14, 2026 |
| SO (s) Afetados: | Windows |
Trojan.ShellcodeRunner.FDF é um Trojan para Windows com nível de perigo 8 em 10. Foi detectado pela primeira vez em 23/10/2026 e mais recentemente em 14/11/2026, com 7 detecções registradas no feed. Não possui assinatura digital. Trojans como este se disfarçam de software legítimo e atuam silenciosamente em segundo plano.
Índice
O que a ameaça faz
Segundo o relato, o ShellcodeRunner.FDF instala-se furtivamente e executa silenciosamente em segundo plano enquanto realiza funções maliciosas. Isso pode dar aos atacantes controle total sobre um sistema infectado.
O nome indica um carregador de shellcode. Programas desse tipo normalmente carregam e executam código extra diretamente na memória, que pode então baixar ou executar outros malwares. O feed não confirma qual payload esta amostra entrega, portanto, considere isso como um comportamento típico da categoria.
Detalhes técnicos do feed:
- O arquivo é um executável GUI nativo do Windows de 64 bits, não um programa .NET, e não está compactado.
- Ele utiliza chamadas de sistema de baixo nível através da ntdll.dll, incluindo chamadas para escrever arquivos, liberar memória e consultar informações do processo. Chamar essas funções diretamente é uma técnica normalmente usada para evitar o monitoramento.
- Ele verifica a presença de um depurador usando IsDebuggerPresent, uma maneira típica de malware dificultar a análise.
- Ele lê as informações de localidade e de objeto do usuário.
- O programa modificou pelo menos dois arquivos, um arquivo de formato de documento e um arquivo de texto, em pastas que se assemelham a locais legítimos de software.
As informações de versão do arquivo o apresentam como "Sciapisara Sync" ou "Stuvo Toolkit", com nomes de empresas e texto de direitos autorais correspondentes. Isso é um disfarce. Uma descrição com aparência profissional não torna um arquivo confiável, especialmente quando ele não possui assinatura digital.
Geralmente é assim que chega aos computadores.
O feed diz que esse Trojan se espalha mais frequentemente por meio de:
- Exploração de vulnerabilidades e falhas de segurança do sistema.
- Downloads de software de sites maliciosos.
- Anexos de e-mail de fontes não confiáveis, geralmente arquivos .exe, .pif, .avi e até mesmo .jpg.
Instaladores falsos e ferramentas "gratuitas" são uma rota de distribuição típica para Trojans em geral. O feed lista famílias relacionadas, como Injector.NGC e Trojan.Injector.Gen.KFL, o que sugere um comportamento semelhante de injeção de código.
Riscos para o usuário
Como o Trojan pode dar aos hackers controle total do sistema, os riscos são sérios. As consequências típicas desse tipo de acesso incluem:
- Roubo de senhas, dados bancários e arquivos pessoais.
- Instalação de malware adicional, como ransomware ou spyware.
- Alterações ou eliminação de arquivos.
- Utilização do computador para ataques adicionais.
O feed observa que a descrição do comportamento da ameaça continua além do que é mostrado, portanto, outras ações prejudiciais são possíveis.
Sinais de infecção
Os cavalos de Troia são projetados para permanecerem ocultos, portanto, podem não apresentar sintomas óbvios. Possíveis sinais de alerta, típicos dessa categoria, mas não confirmados para este exemplo específico, incluem:
- Programas desconhecidos, como um aplicativo "Sync" ou "Toolkit" que você não instalou.
- Arquivos novos ou alterados inesperadamente nas pastas de programas ou de dados.
- Desempenho mais lento ou atividade de rede inexplicável.
- Configurações de segurança que mudam sozinhas.
- Contas que exibem logins que você não reconhece.
Como se manter protegido
- Mantenha o Windows e todos os seus softwares atualizados para que as vulnerabilidades conhecidas sejam corrigidas.
- Faça o download do software somente no site oficial da editora.
- Não abra anexos de remetentes desconhecidos. Tenha cuidado com arquivos executáveis e com imagens ou vídeos que solicitem para serem "executados".
- Verifique o tipo de arquivo e a assinatura digital de tudo o que você baixar. Uma imagem ou vídeo nunca deve ser um arquivo .exe ou .pif.
- Utilize uma solução antimalware confiável e atualizada e execute verificações completas regularmente.
- Faça backup de arquivos importantes em um local que não esteja permanentemente conectado ao seu computador.
Se suspeitar de uma infecção, desconecte o computador da internet, execute uma verificação completa do sistema e remova tudo o que for detectado. Em seguida, altere suas senhas importantes em um dispositivo limpo. Se o computador era usado para serviços bancários ou de trabalho, considere também entrar em contato com os respectivos provedores.
Relatório de análise
Informação geral
| Nome de família: | Trojan.ShellcodeRunner.FDF |
|---|---|
| Status da assinatura: | No Signature |
Amostras conhecidas
Amostras conhecidas
Esta seção lista outras amostras de arquivos que se acredita estarem associadas a esta família.|
MD5:
2a5dcdd46376d6ecf02ff98c6b1643b5
SHA1:
15d79c7a23b9870cc4f487199350101f3dbfa285
SHA256:
9005807048E97B49D5DEC776394E9EC9278881106E5ED3948E18A10E7D9655FC
Tamanho do Arquivo:
725.50 KB.725504 bytes
|
|
MD5:
0394213adacba9d39893e131bec6c552
SHA1:
89050434a74c0c43867e9c3c19d8811c5fd89dee
SHA256:
DC97435089FBE1F40A56C5D85A81BEA606DB55E735D415923A531D81B6780194
Tamanho do Arquivo:
700.93 KB.700928 bytes
|
Atributos do executável portátil do Windows
- File doesn't have "Rich" header
- File doesn't have exports table
- File doesn't have security information
- File has TLS information
- File is 64-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
Show 1 more
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Ícones de arquivo
Ícones de arquivo
Esta seção exibe os recursos de ícones encontrados nas amostras da família. O malware frequentemente replica ícones comumente associados a softwares legítimos para enganar os usuários e fazê-los acreditar que o malware é seguro.
Informações sobre a versão do Windows PE
Informações sobre a versão do Windows PE
Esta seção exibe os valores e atributos definidos na estrutura de dados de informações de versão de arquivos do Windows para amostras desta família. Para enganar os usuários, os agentes maliciosos frequentemente adicionam informações de versão falsas, imitando softwares legítimos.| Nome | Valor |
|---|---|
| Comments | Stuvo |
| Company Name |
|
| File Description |
|
| File Version |
|
| Internal Name |
|
| Legal Copyright |
|
| Original Filename |
|
| Product Name |
|
| Product Version |
|
Características do arquivo
- HighEntropy
- ntdll
- x64
Informações do bloco
Informações do bloco
Durante a análise, o EnigmaSoft divide as amostras de arquivos em blocos lógicos para classificação e comparação com outras amostras. Os blocos podem ser usados para gerar regras de detecção de malware e para agrupar amostras de arquivos em famílias com base no código-fonte compartilhado, funcionalidade e outros atributos e características distintivas. Esta seção apresenta um resumo desses dados de bloco, bem como sua classificação pelo EnigmaSoft. Uma representação visual dos dados de bloco também é exibida, quando disponível.| Total de blocos: | 556 |
|---|---|
| Blocos potencialmente maliciosos: | 50 |
| Blocos permitidos: | 445 |
| Blocos desconhecidos: | 61 |
Mapa visual
? - Bloco Desconhecido
x - Bloco Potencialmente Malicioso
Famílias semelhantes
Famílias semelhantes
Esta seção lista outras famílias que compartilham semelhanças com esta família, com base na análise da EnigmaSoft. Muitas famílias de malware são criadas a partir dos mesmos kits de ferramentas e utilizam as mesmas técnicas de compactação e criptografia, mas ampliam sua funcionalidade de forma exclusiva. Famílias semelhantes também podem compartilhar código-fonte, atributos, ícones, subcomponentes, assinaturas digitais comprometidas e/ou inválidas e características de rede. Os pesquisadores exploram essas semelhanças para triar amostras de arquivos de forma rápida e eficaz e aprimorar as regras de detecção de malware.- Injector.NGC
- ShellcodeRunner.FDF
- Trojan.Injector.Gen.KFL
Arquivos modificados
Arquivos modificados
Esta seção lista os arquivos que foram criados, modificados, movidos e/ou excluídos por amostras desta família. A atividade do sistema de arquivos pode fornecer informações valiosas sobre como o malware funciona no sistema operacional.| Arquivo | Atributos |
|---|---|
| c:\program files (x86)\scary\eellaonk.pdf | Generic Write,Read Attributes |
| c:\programdata\mozilla firefox\szuenkeixooz.txt | Generic Write,Read Attributes |
Utilização da API do Windows
Utilização da API do Windows
Esta seção lista as chamadas da API do Windows usadas pelos exemplos desta família. A análise do uso da API do Windows é uma ferramenta valiosa que pode ajudar a identificar atividades maliciosas, como registro de teclas digitadas (keylogging), escalonamento de privilégios de segurança, criptografia de dados, exfiltração de dados, interferência com software antivírus e manipulação de solicitações de rede.| Categoria | API |
|---|---|
| Syscall Use |
Show 23 more
|
| Anti Debug |
|
| User Data Access |
|