Trojan.ShellcodeRunner.Gen.MB

Trojan.ShellcodeRunner.Gen.MB — это троян для Windows, обнаруженный под общим именем. Его уровень опасности оценивается в 8 из 10. Обнаружения такого рода обычно указывают на программу, которая загружает и запускает скрытый код (шеллкод) в памяти, поэтому реальная полезная нагрузка может быть не видна на диске. Образец был впервые обнаружен 27 марта 2026 года, дата последнего обнаружения недоступна.

Что делает эта угроза?

Согласно сообщениям, этот троян устанавливается незаметно, работает в фоновом режиме и выполняет вредоносные функции. После установки он может предоставить злоумышленникам полный контроль над зараженной системой.

Анализируемый образец демонстрирует ряд технических характеристик:

• Это неподписанный 32-битный исполняемый файл с графическим интерфейсом пользователя для Windows, не упакованный и не являющийся приложением .NET. Он имеет большой объем наложения (дополнительные данные, добавленные к файлу) и высокую энтропию, что типично для встроенных или закодированных данных.
• В информации о версии указано, что это «системная утилита» от компании «Unified Networks Inc.». Вредоносные программы часто используют подобные, казалось бы, безобидные детали, чтобы выглядеть легитимными.
• Он использует низкоуровневые системные вызовы через ntdll.dll, включая вызовы для записи файлов, освобождения и запроса памяти, а также запроса информации о процессе.
• В нем упоминаются NtUnmapViewOfSection, связанный с манипулированием процессами и обходом защиты, и NtQuerySystemInformation, связанный с проверками, препятствующими отладке.
• Это создает новый процесс. Наблюдаемая команда запустила rundll32.exe для выполнения файла из папки «Загрузки» пользователя с указанием точки входа.

В сообщении не указано, что представляет собой конечная полезная нагрузка. В списке перечислены аналогичные семейства, включая программы-воры и другие распространенные трояны, но это не подтверждает, что делает этот образец после запуска.

Как это обычно попадает на компьютеры

В сообщении говорится, что этот троян распространяется через:

• Использование уязвимостей системы и недостатков безопасности.
• Загрузка программного обеспечения с вредоносных веб-сайтов.
• Вложения в электронные письма из ненадежных источников, обычно это файлы с расширениями .exe, .pif, .avi и даже .jpg.

Запуск из папки «Загрузки», наблюдаемый в данном случае, соответствует файлу, который был загружен и затем запущен, однако данные из репозитория не подтверждают точный путь доставки этого образца.

Риски для пользователя

Основная опасность заключается в полном удаленном доступе. Как правило, злоумышленник с таким уровнем доступа может украсть пароли и личные файлы, установить дополнительное вредоносное ПО, отслеживать активность или использовать компьютер для других атак. Поскольку шеллкод выполняется в памяти и может быть связан с манипулированием процессами, его сложнее обнаружить с помощью простых инструментов.

Признаки инфекции

В сообщении не указаны видимые симптомы. Трояны такого рода обычно работают бесшумно, поэтому их может и не быть. Возможные признаки включают:

• Незнакомая программа под названием "Системная утилита" или процесс rundll32.exe, запускающий файл из папки "Загрузки".
• Неожиданные замедления работы, сбои или высокая загрузка процессора или сети.
• Программное обеспечение безопасности отключается или настройки изменяются без вашего участия.
• Неизвестные данные для входа в систему или активность учетной записи могут указывать на кражу учетных данных.

Как обеспечить свою безопасность

• Регулярно обновляйте Windows и все установленное программное обеспечение, чтобы устранить известные уязвимости.
• Загружайте программное обеспечение только из официальных и проверенных источников.

Если вы подозреваете заражение, отключитесь от интернета, выполните полное сканирование с помощью актуальной программы безопасности и удалите все обнаруженные вредоносные программы. Затем смените важные пароли на чистом устройстве. Если система по-прежнему ведет себя странно, обратитесь за помощью к специалисту или выполните чистую переустановку Windows.