Trojan.ShellcodeRunner.FDF
威胁评分卡
EnigmaSoft 威胁记分卡
EnigmaSoft 威胁记分卡是针对不同恶意软件威胁的评估报告，由我们的研究团队收集和分析。 EnigmaSoft 威胁记分卡使用多个指标对威胁进行评估和排名，包括现实世界和潜在风险因素、趋势、频率、普遍性和持续性。 EnigmaSoft 威胁记分卡会根据我们的研究数据和指标定期更新，对广泛的计算机用户有用，从寻求解决方案以从系统中删除恶意软件的最终用户到分析威胁的安全专家。
EnigmaSoft 威胁记分卡显示各种有用的信息，包括：
流行度排名： EnigmaSoft威胁数据库中特定威胁的排名。
严重性级别：根据我们的风险建模过程和研究，确定的对象的严重性级别，以数字形式表示，如我们的威胁评估标准中所述。
受感染计算机： SpyHunter 报告的在受感染计算机上检测到的特定威胁的确认和疑似案例数量。
另请参阅威胁评估标准。
| 威胁级别： | 80 % (高的) |
| 初见： | October 23, 2026 |
| 最后一次露面： | November 14, 2026 |
| 受影响的操作系统： | Windows |
Trojan.ShellcodeRunner.FDF 是一款 Windows 木马，危险等级为 8（满分 10）。它最早于 2026 年 10 月 23 日被发现，最近一次出现是在 2026 年 11 月 14 日，监测到的检测记录共 7 次。该木马没有数字签名。这类木马会伪装成合法软件，并在后台静默运行。
目录
威胁会造成什么影响？
根据消息来源，ShellcodeRunner.FDF 会悄无声息地安装自身，并在后台静默运行，执行恶意功能。它可能使攻击者完全控制受感染的系统。
该名称指向一个 shellcode 加载器。这类程序通常会将额外的代码直接加载到内存中并运行，进而下载或启动其他恶意软件。由于信息来源并未确认此样本会释放何种有效载荷，因此请将其视为此类恶意软件的典型行为。
来自数据源的技术细节：
- 该文件是 64 位 Windows 原生 GUI 可执行文件，不是 .NET 程序，也没有打包。
- 它通过ntdll.dll使用底层系统调用，包括写入文件、释放内存和查询进程信息等调用。直接调用这些函数通常是一种规避监控的技术。
- 它使用 IsDebuggerPresent 检查调试器，这是恶意软件阻碍分析的典型方法。
- 它读取用户区域设置和用户对象信息。
- 它修改了至少两个文件，一个文档样式文件和一个文本文件，这两个文件位于类似于合法软件位置的文件夹中。
该文件的版本信息显示为“Sciapisara Sync”或“Stuvo Toolkit”，并带有相应的公司名称和版权声明。这是一种伪装。看似专业的描述并不能使文件可信，尤其是在没有数字签名的情况下。
它通常是如何进入电脑的
该信息源显示，这种木马程序最常见的传播方式是：
- 利用系统漏洞和安全缺陷。
- 从恶意网站下载软件。
- 来自不受信任来源的电子邮件附件，通常是 .exe、.pif、.avi 甚至 .jpg 文件。
虚假安装程序和“免费”工具是木马病毒常见的传播途径。该信息源列出了相关的木马家族，例如 Injector.NGC 和 Trojan.Injector.Gen.KFL，这表明它们具有类似的注入代码行为。
用户面临的风险
由于木马程序可能使黑客完全控制系统，因此风险十分严重。此类访问权限的典型后果包括：
- 密码、银行信息和个人文件被盗。
- 安装其他恶意软件，例如勒索软件或间谍软件。
- 文件更改或删除。
- 利用该计算机进行进一步攻击。
该信息指出，威胁行为的描述超出了画面所示，因此可能还存在其他有害行为。
感染迹象
木马程序旨在隐藏自身，因此可能不会出现明显的症状。此类木马程序通常会出现一些常见的预警信号，但这些信号并未在本样本中得到证实，因此需要注意。
- 不熟悉的程序，例如您未安装的未知“同步”或“工具包”应用程序。
- 程序或数据文件夹中出现意外新增或已更改的文件。
- 性能下降或出现无法解释的网络活动。
- 自动更改的安全设置。
- 显示您无法识别的登录帐户。
如何保护自己
- 请确保Windows系统和所有软件保持最新状态，以便修复已知的漏洞。
- 请仅从发行商的官方网站下载软件。
- 不要打开来自未知发件人的附件。谨慎对待可执行文件以及要求“运行”的图片或视频。
- 下载任何文件时，请务必检查文件类型和数字签名。图片或视频文件绝不应该是 .exe 或 .pif 文件。
- 使用信誉良好、版本最新的反恶意软件解决方案，并定期进行全面扫描。
- 将重要文件备份到与计算机没有永久连接的位置。
如果您怀疑电脑感染了病毒，请断开电脑与互联网的连接，运行完整的系统扫描，并清除所有检测到的病毒。然后，在干净的设备上更改您的重要密码。如果该电脑曾用于网上银行或工作，请考虑联系相关的服务提供商。
分析报告
一般信息
| 姓： | Trojan.ShellcodeRunner.FDF |
|---|---|
| 签名状态： | No Signature |
已知样本
已知样本
本节列出了其他据信与该家族有关的文件样本。|
MD5:
2a5dcdd46376d6ecf02ff98c6b1643b5
SHA1:
15d79c7a23b9870cc4f487199350101f3dbfa285
SHA256:
9005807048E97B49D5DEC776394E9EC9278881106E5ED3948E18A10E7D9655FC
文件大小:
725.50 KB,725504字节
|
|
MD5:
0394213adacba9d39893e131bec6c552
SHA1:
89050434a74c0c43867e9c3c19d8811c5fd89dee
SHA256:
DC97435089FBE1F40A56C5D85A81BEA606DB55E735D415923A531D81B6780194
文件大小:
700.93 KB,700928字节
|
Windows 可移植可执行文件属性
- File doesn't have "Rich" header
- File doesn't have exports table
- File doesn't have security information
- File has TLS information
- File is 64-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
Show 1 more
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
文件图标
文件图标
本部分展示了在恶意软件家族样本中找到的图标资源。恶意软件通常会复制与合法软件相关的图标，以误导用户，使其误以为该恶意软件是安全的。
Windows PE 版本信息
Windows PE 版本信息
本节显示此系列样本的 Windows 文件版本信息数据结构中已设置的值和属性。为了误导用户，恶意软件攻击者通常会添加伪造的版本信息，模仿合法软件。| 姓名 | 价值 |
|---|---|
| Comments | Stuvo |
| Company Name |
|
| File Description |
|
| File Version |
|
| Internal Name |
|
| Legal Copyright |
|
| Original Filename |
|
| Product Name |
|
| Product Version |
|
文件特征
- HighEntropy
- ntdll
- x64
区块信息
区块信息
在分析过程中，EnigmaSoft 会将文件样本分解成逻辑块，以便进行分类并与其他样本进行比较。这些逻辑块可用于生成恶意软件检测规则，并根据共享的源代码、功能以及其他显著属性和特征将文件样本分组到不同的家族中。本节概述了这些逻辑块数据及其 EnigmaSoft 分类结果。如果可用，还会显示逻辑块数据的可视化表示。| 总区块数： | 556 |
|---|---|
| 潜在恶意块： | 50 |
| 白名单区块： | 445 |
| 未知区块： | 61 |
可视化地图
? - 未知区块
x - 潜在恶意拦截
相似家庭
相似家庭
本节根据 EnigmaSoft 的分析，列出了与此恶意软件家族具有相似性的其他家族。许多恶意软件家族都基于相同的恶意软件工具包创建，并使用相同的打包和加密技术，但各自扩展了独特的功能。相似的家族可能共享源代码、属性、图标、子组件、受损和/或无效的数字签名以及网络特征。研究人员利用这些相似性来快速有效地对文件样本进行分类，并扩展恶意软件检测规则。- Injector.NGC
- ShellcodeRunner.FDF
- Trojan.Injector.Gen.KFL
文件已修改
文件已修改
本节列出了该系列样本创建、修改、移动和/或删除的文件。文件系统活动可以帮助我们深入了解恶意软件在操作系统上的运行方式。| 文件 | 属性 |
|---|---|
| c:\program files (x86)\scary\eellaonk.pdf | Generic Write,Read Attributes |
| c:\programdata\mozilla firefox\szuenkeixooz.txt | Generic Write,Read Attributes |
Windows API 使用情况
Windows API 使用情况
本节列出了此系列样本使用的 Windows API 调用。Windows API 使用情况分析是一项宝贵的工具，可以帮助识别恶意活动，例如键盘记录、安全权限提升、数据加密、数据泄露、干扰防病毒软件以及网络请求篡改。| 类别 | API |
|---|---|
| Syscall Use |
Show 23 more
|
| Anti Debug |
|
| User Data Access |
|