Trojan.ShellcodeRunner.FDF

Trojan.ShellcodeRunner.FDF, 10 üzerinden 8 tehlike seviyesine sahip bir Windows Truva atıdır. İlk olarak 23.10.2026 tarihinde ve en son 14.11.2026 tarihinde tespit edilmiş olup, kayıtlarda 7 tespit bulunmaktadır. Dijital imzası yoktur. Bu tür Truva atları, meşru yazılım gibi görünerek arka planda sessizce çalışırlar.

Tehdidin yaptığı şey

Verilen bilgilere göre, ShellcodeRunner.FDF kendini gizlice kuruyor ve kötü amaçlı işlevleri yerine getirirken arka planda sessizce çalışıyor. Bu durum, saldırganlara bulaşmış bir sistem üzerinde tam kontrol sağlayabilir.

Bu isim, bir shellcode yükleyicisine işaret ediyor. Bu tür programlar genellikle doğrudan belleğe ek kod yükler ve çalıştırır; bu kod daha sonra diğer kötü amaçlı yazılımları indirebilir veya başlatabilir. Besleme, bu örneğin hangi yükü içerdiğini doğrulamadığı için, bunu kategori için tipik bir davranış olarak değerlendirin.

Yayın akışından alınan teknik detaylar:

• Dosya, .NET programı değil, 64 bitlik yerel bir Windows GUI yürütülebilir dosyasıdır ve sıkıştırılmamıştır.
• Dosya yazma, bellek boşaltma ve işlem bilgilerini sorgulama gibi işlemler için ntdll.dll üzerinden düşük seviyeli sistem çağrıları kullanır. Bu işlevleri doğrudan çağırmak, genellikle izlemeyi önlemek için kullanılan bir tekniktir.
• Kötü amaçlı yazılımların analizi engellemek için kullandığı tipik bir yöntem olan IsDebuggerPresent'i kullanarak bir hata ayıklayıcının olup olmadığını kontrol eder.
• Kullanıcı yerel ayarlarını ve kullanıcı nesne bilgilerini okur.
• Bu zararlı yazılım, yasal yazılım konumlarına benzeyen klasörlerde bulunan en az iki dosyayı, biri belge türündeki bir dosyayı, diğeri metin dosyasını değiştirdi.

Dosyanın sürüm bilgileri, şirket adları ve telif hakkı metniyle eşleşen "Sciapisara Sync" veya "Stuvo Toolkit" olarak sunuyor. Bu bir kamuflajdır. Profesyonel görünümlü bir açıklama, özellikle dijital imzası yoksa, bir dosyayı güvenilir kılmaz.

Bilgisayarlara genellikle nasıl bulaşıyor?

Haber kaynağına göre bu Truva atı en sık şu yollarla yayılıyor:

• Sistemdeki güvenlik açıklarından ve zafiyetlerden yararlanmak.
• Zararlı web sitelerinden yazılım indirmeleri.
• Güvenilmeyen kaynaklardan gelen e-posta ekleri, genellikle .exe, .pif, .avi ve hatta .jpg dosyalarıdır.

Sahte yükleyiciler ve "ücretsiz" araçlar, genel olarak Truva atlarının tipik bir dağıtım yoludur. Beslemede Injector.NGC ve Trojan.Injector.Gen.KFL gibi ilgili aileler listeleniyor, bu da benzer kod enjeksiyon davranışına işaret ediyor.

Kullanıcı için riskler

Truva atı, bilgisayar korsanlarına sistemin tam kontrolünü verebileceğinden, riskler ciddidir. Bu tür erişimin tipik sonuçları şunlardır:

• Şifrelerin, banka bilgilerinin ve kişisel dosyaların çalınması.
• Fidye yazılımı veya casus yazılım gibi ek kötü amaçlı yazılımların yüklenmesi.
• Dosyalarda yapılan değişiklikler veya dosyaların silinmesi.
• Bilgisayarın daha fazla saldırı amacıyla kullanılması.

Paylaşımda, tehdidin davranışına ilişkin açıklamaların gösterilenlerin ötesine uzandığı, dolayısıyla başka zararlı eylemlerin de mümkün olduğu belirtiliyor.

Enfeksiyon belirtileri

Truva atları gizli kalacak şekilde tasarlanmıştır, bu nedenle belirgin belirtiler olmayabilir. Bu örnek için doğrulanmamış olsa da, bu kategori için tipik olan olası uyarı işaretleri şunlardır:

• Yüklemediğiniz, bilinmeyen "Sync" veya "Toolkit" uygulaması gibi yabancı programlar.
• Program veya veri klasörlerinde beklenmedik yeni veya değiştirilmiş dosyalar.
• Daha yavaş performans veya açıklanamayan ağ etkinliği.
• Kendiliğinden değişen güvenlik ayarları.
• Tanımadığınız giriş bilgilerini gösteren hesaplar.

Nasıl korunabilirsiniz?

• Windows'unuzu ve tüm yazılımlarınızı güncel tutun, böylece bilinen güvenlik açıkları giderilsin.
• Yazılımı yalnızca yayıncının resmi web sitesinden indirin.
• Bilinmeyen göndericilerden gelen ekleri açmayın. Çalıştırılabilir dosyalara ve "çalıştırılsın" isteyen resim veya videolara karşı dikkatli olun.
• İndirdiğiniz her şeyin dosya türünü ve dijital imzasını kontrol edin. Bir resim veya video asla .exe veya .pif dosyası olmamalıdır.
• Güvenilir ve güncel bir kötü amaçlı yazılım önleme çözümü kullanın ve düzenli olarak tam tarama yapın.
• Önemli dosyalarınızı bilgisayarınıza kalıcı olarak bağlı olmayan bir konuma yedekleyin.

Virüs bulaştığından şüpheleniyorsanız, bilgisayarı internetten ayırın, tam sistem taraması yapın ve tespit edilen her şeyi kaldırın. Ardından önemli şifrelerinizi temiz bir cihazdan değiştirin. Bilgisayar bankacılık veya iş amaçlı kullanıldıysa, ilgili sağlayıcılarla iletişime geçmeyi de düşünün.

Analiz raporu

Genel bilgi

Soyadı:	Trojan.ShellcodeRunner.FDF
İmza durumu:	No Signature

Bilinen Örnekler

i

Bilinen Örnekler

Bu bölümde, bu aileyle ilişkili olduğuna inanılan diğer dosya örnekleri listelenmiştir.

MD5: 2a5dcdd46376d6ecf02ff98c6b1643b5 SHA1: 15d79c7a23b9870cc4f487199350101f3dbfa285 SHA256: 9005807048E97B49D5DEC776394E9EC9278881106E5ED3948E18A10E7D9655FC Dosya boyutu: 725.50 KB.725504 bayt

MD5: 0394213adacba9d39893e131bec6c552 SHA1: 89050434a74c0c43867e9c3c19d8811c5fd89dee SHA256: DC97435089FBE1F40A56C5D85A81BEA606DB55E735D415923A531D81B6780194 Dosya boyutu: 700.93 KB.700928 bayt

Windows Taşınabilir Çalıştırılabilir Dosya Özellikleri

i

Windows Taşınabilir Çalıştırılabilir Dosya Özellikleri

Bu bölümde, örnek dosyalarda bulunan dosya öznitelikleri listelenmiştir. Bu öznitelikler, dosyaların Windows PE (Taşınabilir Çalıştırılabilir) spesifikasyonundan ve çeşitli sistem bayraklarından çıkarılır. Taşınabilir Çalıştırılabilir Öznitelikler, kötü amaçlı yazılım araştırmacılarına bir dosyanın işlevselliği, çalıştırılabilir ayrıntıları, platformu ve çalışma ortamı hakkında bilgi verir.

• File doesn't have "Rich" header
• File doesn't have exports table
• File doesn't have security information
• File has TLS information
• File is 64-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)

Show 1 more

• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Dosya Simgeleri

i

Dosya Simgeleri

Bu bölümde, aile örnekleri içinde bulunan simge kaynakları gösterilmektedir. Kötü amaçlı yazılımlar, kullanıcıları kötü amaçlı yazılımın güvenli olduğuna inandırmak için genellikle meşru yazılımlarla ilişkilendirilen simgeleri kopyalar.

Windows PE Sürüm Bilgileri

i

Windows PE Sürüm Bilgileri

Bu bölümde, bu aileye ait örnekler için Windows dosya sürüm bilgisi veri yapısında ayarlanmış değerler ve öznitelikler görüntülenir. Kullanıcıları yanıltmak için, kötü amaçlı yazılım saldırganları genellikle meşru yazılımları taklit eden sahte sürüm bilgileri ekler.

isim	Değer
Comments	Stuvo
Company Name	Sciapisara Apps Stuvo Inc.
File Description	Sciapisara Sync Stuvo Toolkit
File Version	8.14.4.97 8.13.9.0
Internal Name	sciapisara-app.exe stuvo-app
Legal Copyright	Copyright 2009-2026 Sciapisara Apps. All rights reserved. © 2026 Stuvo Inc.
Original Filename	sciapisara-app.exe stuvo-app.exe
Product Name	Sciapisara Stuvo
Product Version	8.14.4.97 8.13.9.0

Dosya Özellikleri

• HighEntropy
• ntdll
• x64

Blok Bilgileri

i

Blok Bilgileri

Analiz sırasında EnigmaSoft, dosya örneklerini sınıflandırma ve diğer örneklerle karşılaştırma için mantıksal bloklara ayırır. Bloklar, kötü amaçlı yazılım tespit kuralları oluşturmak ve dosya örneklerini paylaşılan kaynak koduna, işlevselliğe ve diğer ayırt edici özelliklere ve niteliklere göre gruplara ayırmak için kullanılabilir. Bu bölümde, bu blok verilerinin bir özeti ve EnigmaSoft tarafından yapılan sınıflandırması listelenmiştir. Ayrıca, mevcutsa, blok verilerinin görsel bir temsili de gösterilmektedir.

Toplam Blok Sayısı:	556
Potansiyel Olarak Zararlı Bloklar:	50
Beyaz Listeye Alınan Bloklar:	445
Bilinmeyen Bloklar:	61

Görsel Harita

0 - Muhtemel Güvenli Blok
? - Bilinmeyen Blok
x - Potansiyel Olarak Kötü Amaçlı Engelleme

Benzer Aileler

i

Benzer Aileler

Bu bölümde, EnigmaSoft'un analizine dayanarak bu aileyle benzerlikler gösteren diğer aileler listelenmiştir. Birçok kötü amaçlı yazılım ailesi aynı kötü amaçlı yazılım araç setlerinden oluşturulur ve aynı paketleme ve şifreleme tekniklerini kullanır, ancak işlevselliği benzersiz bir şekilde genişletir. Benzer aileler ayrıca kaynak kodunu, öznitelikleri, simgeleri, alt bileşenleri, tehlikeye atılmış ve/veya geçersiz dijital imzaları ve ağ özelliklerini de paylaşabilir. Araştırmacılar, dosya örneklerini hızlı ve etkili bir şekilde sınıflandırmak ve kötü amaçlı yazılım tespit kurallarını genişletmek için bu benzerliklerden yararlanır.

• Injector.NGC
• ShellcodeRunner.FDF
• Trojan.Injector.Gen.KFL

Değiştirilen Dosyalar

i

Değiştirilen Dosyalar

Bu bölümde, bu ailedeki örnekler tarafından oluşturulan, değiştirilen, taşınan ve/veya silinen dosyalar listelenmiştir. Dosya sistemi etkinliği, kötü amaçlı yazılımların işletim sisteminde nasıl çalıştığına dair değerli bilgiler sağlayabilir.

Dosya	Özellikler
c:\program files (x86)\scary\eellaonk.pdf	Generic Write,Read Attributes
c:\programdata\mozilla firefox\szuenkeixooz.txt	Generic Write,Read Attributes

Windows API Kullanımı

i

Windows API Kullanımı

Bu bölümde, bu ailedeki örnekler tarafından kullanılan Windows API çağrıları listelenmiştir. Windows API kullanım analizi, keylogging, güvenlik ayrıcalığı yükseltme, veri şifreleme, veri sızdırma, antivirüs yazılımlarına müdahale ve ağ isteği manipülasyonu gibi kötü amaçlı faaliyetleri belirlemeye yardımcı olabilecek değerli bir araçtır.

Kategori	API
Syscall Use	ntdll.dll!NtClose ntdll.dll!NtConnectPort ntdll.dll!NtCreateSection ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtMapViewOfSection ntdll.dll!NtOpenFile ntdll.dll!NtOpenKey ntdll.dll!NtOpenKeyEx ntdll.dll!NtOpenProcessToken ntdll.dll!NtOpenSection Show 23 more ntdll.dll!NtProtectVirtualMemory ntdll.dll!NtQueryAttributesFile ntdll.dll!NtQueryDirectoryFileEx ntdll.dll!NtQueryInformationProcess ntdll.dll!NtQueryInformationToken ntdll.dll!NtQueryKey ntdll.dll!NtQueryPerformanceCounter ntdll.dll!NtQuerySecurityAttributesToken ntdll.dll!NtQueryValueKey ntdll.dll!NtQueryVirtualMemory ntdll.dll!NtReleaseWorkerFactoryWorker ntdll.dll!NtRequestWaitReplyPort ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationProcess ntdll.dll!NtSetInformationThread ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtTestAlert ntdll.dll!NtTraceControl ntdll.dll!NtWaitForSingleObject ntdll.dll!NtWaitForWorkViaWorkerFactory ntdll.dll!NtWaitLowEventPair ntdll.dll!NtWriteFile UNKNOWN
Anti Debug	IsDebuggerPresent
User Data Access	GetUserDefaultLocaleName GetUserObjectInformation