Trojan.ShellcodeRunner.Gen.MB

Trojan.ShellcodeRunner.Gen.MB , genel bir isim altında tespit edilen bir Windows Truva atıdır. Tehlike derecesi 10 üzerinden 8'dir. Bu tür tespitler genellikle bellekte gizli kod (shellcode) yükleyip çalıştıran bir programa işaret eder, bu nedenle gerçek zararlı yazılım diskte görünmeyebilir. Örnek ilk olarak 27 Mart 2026 tarihinde görüldü ve son görülme tarihi mevcut değil.

Tehdidin yaptığı şey

Verilen bilgilere göre, bu Truva atı kendini gizlice kuruyor, arka planda sessizce çalışıyor ve kötü amaçlı işlevler gerçekleştiriyor. Kurulumdan sonra saldırganlara bulaşmış sistem üzerinde tam kontrol sağlayabilir.

Analiz edilen örnekte çeşitli teknik özellikler gözlemlenmiştir:

• Bu, paketlenmemiş ve .NET uygulaması olmayan, imzalanmamış 32 bitlik yerel bir Windows GUI yürütülebilir dosyasıdır. Gömülü veya kodlanmış veriler için tipik olan büyük bir ek veri (dosyaya eklenen fazladan veri) ve yüksek entropiye sahiptir.
• Sürüm bilgileri, onu "Unified Networks Inc." adlı bir şirketten "Sistem Yardımcı Programı" olarak sunuyor. Kötü amaçlı yazılımlar, meşru görünmek için genellikle bu gibi zararsız görünen ayrıntıları kullanır.
• Dosya yazma, bellek boşaltma ve sorgulama, ayrıca işlem bilgilerini sorgulama gibi işlemler de dahil olmak üzere ntdll.dll aracılığıyla düşük seviyeli sistem çağrıları kullanır.
• Bu, süreç manipülasyonu ve kaçınma ile ilişkili olan NtUnmapViewOfSection'a ve hata ayıklama önleme kontrolleriyle ilişkili olan NtQuerySystemInformation'a atıfta bulunur.
• Bu, yeni bir işlem oluşturur. Gözlemlenen komut, kullanıcının İndirilenler klasöründeki bir dosyayı adlandırılmış bir giriş noktasıyla çalıştırmak üzere rundll32.exe'yi başlattı.

Yayınlanan bilgide nihai yükün ne olduğu belirtilmiyor. Listelenen benzer aileler arasında veri hırsızları ve diğer genel Truva atları yer alıyor, ancak bu, bu örneğin çalıştıktan sonra ne yaptığını doğrulamıyor.

Bilgisayarlara genellikle nasıl bulaşıyor?

Haber kaynağına göre bu Truva atı şu yollarla yayılıyor:

• Sistemdeki güvenlik açıklarından ve zafiyetlerden yararlanmak.
• Zararlı web sitelerinden yazılım indirmeleri.
• Güvenilmeyen kaynaklardan gelen e-posta ekleri, genellikle .exe, .pif, .avi ve hatta .jpg dosyalarıdır.

İndirilenler klasöründen gözlemlenen başlatma, indirilen ve ardından çalıştırılan bir dosyayla tutarlıdır, ancak akış bu örnek için tam teslimat yolunu doğrulamamaktadır.

Kullanıcı için riskler

Tam uzaktan kontrol, en büyük tehlikedir. Tipik olarak, bu düzeyde erişime sahip bir saldırgan şifreleri ve kişisel dosyaları çalabilir, daha fazla kötü amaçlı yazılım yükleyebilir, etkinlikleri izleyebilir veya bilgisayarı diğer saldırılar için kullanabilir. Shellcode bellekte çalıştığı ve işlem manipülasyonuyla birlikte kullanılabildiği için, temel araçların tespit etmesi de daha zor olabilir.

Enfeksiyon belirtileri

Yayınlanan bilgilerde görünür belirtiler listelenmiyor. Bu tür Truva atları genellikle sessiz çalışır, bu nedenle hiçbir belirti olmayabilir. Olası ipuçları şunlardır:

• "Sistem Yardımcı Programı" adlı bilinmeyen bir program veya İndirilenler klasöründen bir dosyayı çalıştıran rundll32.exe işlemi.
• Beklenmeyen yavaşlamalar, çökmeler veya yüksek CPU veya ağ kullanımı.
• Güvenlik yazılımının sizin müdahaleniz olmadan devre dışı bırakılması veya ayarlarının değiştirilmesi.
• Bilinmeyen oturum açma işlemleri veya hesap etkinliği, çalınmış kimlik bilgilerine işaret edebilir.

Nasıl korunabilirsiniz?

• Windows'u ve yüklü tüm yazılımları güncel tutarak bilinen güvenlik açıklarının kapatılmasını sağlayın.
• Yazılım indirme işlemlerini yalnızca resmi ve güvenilir kaynaklardan gerçekleştirin.

Virüs bulaştığından şüpheleniyorsanız, internet bağlantınızı kesin, güncel bir güvenlik aracıyla tam tarama yapın ve tespit ettiği her şeyi kaldırın. Ardından önemli şifrelerinizi temiz bir cihazdan değiştirin. Sistem hala garip davranıyorsa, profesyonel yardım almayı veya Windows'u yeniden yüklemeyi düşünün.