Trojan.ShellcodeRunner.FDF

Trojan.ShellcodeRunner.FDF — это троян для Windows с уровнем опасности 8 из 10. Впервые он был обнаружен 23.10.2026, а последний раз — 14.11.2026, зафиксировано 7 обнаружений в ленте. У него отсутствует цифровая подпись. Трояны, подобные этому, маскируются под легитимное программное обеспечение и работают незаметно в фоновом режиме.

Что делает эта угроза?

Согласно полученной информации, ShellcodeRunner.FDF устанавливается незаметно и работает в фоновом режиме, выполняя вредоносные функции. Это может дать злоумышленникам полный контроль над зараженной системой.

Название указывает на загрузчик шеллкода. Программы такого рода обычно загружают и выполняют дополнительный код непосредственно в памяти, который затем может загружать или запускать другое вредоносное ПО. В ленте не подтверждается, какой именно полезный код доставляет этот образец, поэтому следует рассматривать это как типичное поведение для данной категории.

Технические подробности из ленты новостей:

• Этот файл представляет собой 64-битный исполняемый файл с графическим интерфейсом пользователя для Windows, а не программу .NET, и он не упакован.
• Он использует низкоуровневые системные вызовы через ntdll.dll, включая вызовы для записи файлов, освобождения памяти и запроса информации о процессе. Прямой вызов этих функций — это метод, обычно используемый для избежания мониторинга.
• Проверка наличия отладчика осуществляется с помощью функции IsDebuggerPresent, что является типичным способом, которым вредоносное ПО препятствует анализу.
• Он считывает информацию о локали пользователя и объекте пользователя.
• В результате были изменены как минимум два файла: документ и текстовый файл, расположенные в папках, которые внешне напоминают места расположения легитимного программного обеспечения.

В информации о версии файла указано, что он называется "Sciapisara Sync" или "Stuvo Toolkit", с совпадающими названиями компаний и текстом об авторских правах. Это маскировка. Профессионально выглядящее описание не делает файл заслуживающим доверия, особенно если у него нет цифровой подписи.

Как это обычно попадает на компьютеры

В сообщении говорится, что этот троян чаще всего распространяется следующим образом:

• Использование уязвимостей системы и недостатков безопасности.
• Загрузка программного обеспечения с вредоносных веб-сайтов.
• Вложения в электронные письма из ненадежных источников, обычно это файлы с расширениями .exe, .pif, .avi и даже .jpg.

Поддельные установщики и «бесплатные» инструменты — типичный способ распространения троянских программ в целом. В списке упоминаются родственные семейства, такие как Injector.NGC и Trojan.Injector.Gen.KFL, что указывает на схожее поведение при внедрении кода.

Риски для пользователя

Поскольку троянская программа может предоставить хакерам полный контроль над системой, риски серьезны. Типичные последствия такого доступа включают в себя:

• Кража паролей, банковских реквизитов и личных файлов.
• Установка дополнительного вредоносного ПО, такого как программы-вымогатели или шпионские программы.
• Внесение изменений в файлы или их удаление.
• Использование компьютера для дальнейших атак.

В сообщении отмечается, что описание поведения угрозы продолжается и после того, что показано, поэтому возможны и другие вредоносные действия.

Признаки инфекции

Троянские программы разработаны таким образом, чтобы оставаться незаметными, поэтому явных симптомов может не быть. Возможные предупреждающие признаки, типичные для этой категории, но не подтвержденные для данного образца, включают:

• Незнакомые программы, например, неизвестное приложение "Sync" или "Toolkit", которое вы не устанавливали.
• В папках программ или данных обнаружены неожиданные новые или измененные файлы.
• Снижение производительности или необъяснимая активность в сети.
• Настройки безопасности, которые изменяются автоматически.
• В учетных записях отображаются незнакомые вам логины.

Как обеспечить свою безопасность

• Регулярно обновляйте Windows и все программное обеспечение, чтобы устранять известные уязвимости.
• Загружайте программное обеспечение только с официального сайта издателя.
• Не открывайте вложения от неизвестных отправителей. Будьте осторожны с исполняемыми файлами, а также с изображениями или видео, которые запрашивают разрешение на запуск.
• Проверяйте тип файла и цифровую подпись всего, что вы скачиваете. Изображение или видео никогда не должны быть файлами с расширением .exe или .pif.
• Используйте надежное, современное антивирусное решение и регулярно запускайте полные проверки.
• Создавайте резервные копии важных файлов в месте, которое не подключено постоянно к вашему компьютеру.

Если вы подозреваете заражение, отключите компьютер от интернета, выполните полное сканирование системы и удалите все обнаруженные вредоносные программы. Затем смените важные пароли на чистом устройстве. Если компьютер использовался для банковских операций или работы, также обратитесь к соответствующим поставщикам услуг.

Аналитический отчет

Главная Информация

Фамилия:	Trojan.ShellcodeRunner.FDF
Статус подписи:	No Signature

Известные образцы

i

Известные образцы

В этом разделе перечислены другие образцы файлов, предположительно связанные с этой семьей.

MD5: 2a5dcdd46376d6ecf02ff98c6b1643b5 ША1: 15d79c7a23b9870cc4f487199350101f3dbfa285 SHA256: 9005807048E97B49D5DEC776394E9EC9278881106E5ED3948E18A10E7D9655FC Размер файла: 725.50 KB, 725504 байт

MD5: 0394213adacba9d39893e131bec6c552 ША1: 89050434a74c0c43867e9c3c19d8811c5fd89dee SHA256: DC97435089FBE1F40A56C5D85A81BEA606DB55E735D415923A531D81B6780194 Размер файла: 700.93 KB, 700928 байт

Атрибуты исполняемого файла Windows Portable

i

Атрибуты исполняемого файла Windows Portable

В этом разделе перечислены атрибуты файлов, обнаруженные в образцах семейства. Эти атрибуты извлекаются из спецификации исполняемых файлов Windows PE (Portable Executable) и различных системных флагов. Атрибуты исполняемых файлов позволяют исследователям вредоносного ПО получить представление о функциональности файла, деталях исполняемого файла, платформе и среде выполнения.

• File doesn't have "Rich" header
• File doesn't have exports table
• File doesn't have security information
• File has TLS information
• File is 64-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)

Show 1 more

• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Значки файлов

i

Значки файлов

В этом разделе отображаются значки, найденные в образцах вредоносных программ. Вредоносные программы часто копируют значки, обычно ассоциируемые с легитимным программным обеспечением, чтобы ввести пользователей в заблуждение и заставить их поверить в безопасность вредоносной программы.

Информация о версии Windows PE

i

Информация о версии Windows PE

В этом разделе отображаются значения и атрибуты, установленные в структуре данных информации о версии файла Windows для образцов этого семейства. Чтобы ввести пользователей в заблуждение, злоумышленники часто добавляют поддельную информацию о версии, имитирующую легитимное программное обеспечение.

имя	Ценность
Comments	Stuvo
Company Name	Sciapisara Apps Stuvo Inc.
File Description	Sciapisara Sync Stuvo Toolkit
File Version	8.14.4.97 8.13.9.0
Internal Name	sciapisara-app.exe stuvo-app
Legal Copyright	Copyright 2009-2026 Sciapisara Apps. All rights reserved. © 2026 Stuvo Inc.
Original Filename	sciapisara-app.exe stuvo-app.exe
Product Name	Sciapisara Stuvo
Product Version	8.14.4.97 8.13.9.0

Характеристики файла

• HighEntropy
• ntdll
• x64

Информация о блоке

i

Информация о блоке

В процессе анализа EnigmaSoft разбивает образцы файлов на логические блоки для классификации и сравнения с другими образцами. Блоки могут использоваться для генерации правил обнаружения вредоносного ПО и для группировки образцов файлов в семейства на основе общего исходного кода, функциональности и других отличительных атрибутов и характеристик. В этом разделе приводится сводная информация о данных этих блоков, а также их классификация, выполненная EnigmaSoft. При наличии также отображается визуальное представление данных блоков.

Всего блоков:	556
Потенциально вредоносные блоки:	50
Блоки, внесенные в белый список:	445
Неизвестные блоки:	61

Визуальная карта

0 - Вероятный безопасный блок
? - Неизвестный блок
x - Потенциально вредоносная блокировка

Похожие семьи

i

Похожие семьи

В этом разделе перечислены другие семейства вредоносных программ, имеющие сходства с данным семейством, на основе анализа EnigmaSoft. Многие семейства вредоносных программ создаются с использованием одних и тех же наборов инструментов и применяют одни и те же методы упаковки и шифрования, но обладают уникальными расширенными функциональными возможностями. Схожие семейства могут также иметь общий исходный код, атрибуты, значки, субкомпоненты, скомпрометированные и/или недействительные цифровые подписи и сетевые характеристики. Исследователи используют эти сходства для быстрой и эффективной сортировки образцов файлов и расширения правил обнаружения вредоносных программ.

• Injector.NGC
• ShellcodeRunner.FDF
• Trojan.Injector.Gen.KFL

Файлы изменены

i

Файлы изменены

В этом разделе перечислены файлы, созданные, измененные, перемещенные и/или удаленные образцами из этого семейства. Активность файловой системы может дать ценную информацию о том, как вредоносное ПО функционирует в операционной системе.

Файл	Атрибуты
c:\program files (x86)\scary\eellaonk.pdf	Generic Write,Read Attributes
c:\programdata\mozilla firefox\szuenkeixooz.txt	Generic Write,Read Attributes

Использование API Windows

i

Использование API Windows

В этом разделе перечислены вызовы API Windows, используемые примерами из этого семейства. Анализ использования API Windows — это ценный инструмент, который может помочь выявить вредоносную активность, такую как перехват нажатий клавиш, повышение привилегий в системе безопасности, шифрование данных, утечка данных, вмешательство в работу антивирусного программного обеспечения и манипулирование сетевыми запросами.

Категория	API
Syscall Use	ntdll.dll!NtClose ntdll.dll!NtConnectPort ntdll.dll!NtCreateSection ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtMapViewOfSection ntdll.dll!NtOpenFile ntdll.dll!NtOpenKey ntdll.dll!NtOpenKeyEx ntdll.dll!NtOpenProcessToken ntdll.dll!NtOpenSection Show 23 more ntdll.dll!NtProtectVirtualMemory ntdll.dll!NtQueryAttributesFile ntdll.dll!NtQueryDirectoryFileEx ntdll.dll!NtQueryInformationProcess ntdll.dll!NtQueryInformationToken ntdll.dll!NtQueryKey ntdll.dll!NtQueryPerformanceCounter ntdll.dll!NtQuerySecurityAttributesToken ntdll.dll!NtQueryValueKey ntdll.dll!NtQueryVirtualMemory ntdll.dll!NtReleaseWorkerFactoryWorker ntdll.dll!NtRequestWaitReplyPort ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationProcess ntdll.dll!NtSetInformationThread ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtTestAlert ntdll.dll!NtTraceControl ntdll.dll!NtWaitForSingleObject ntdll.dll!NtWaitForWorkViaWorkerFactory ntdll.dll!NtWaitLowEventPair ntdll.dll!NtWriteFile UNKNOWN
Anti Debug	IsDebuggerPresent
User Data Access	GetUserDefaultLocaleName GetUserObjectInformation