Trojan.ShellcodeRunner.FDF
Fiche d'évaluation menace
Tableau de bord des menaces EnigmaSoft
EnigmaSoft Threat Scorecards sont des rapports d'évaluation de différentes menaces de logiciels malveillants qui ont été collectés et analysés par notre équipe de recherche. Les tableaux de bord des menaces EnigmaSoft évaluent et classent les menaces à l'aide de plusieurs mesures, notamment les facteurs de risque réels et potentiels, les tendances, la fréquence, la prévalence et la persistance. Les cartes de pointage EnigmaSoft Threat sont mises à jour régulièrement sur la base de nos données et mesures de recherche et sont utiles pour un large éventail d'utilisateurs d'ordinateurs, des utilisateurs finaux à la recherche de solutions pour supprimer les logiciels malveillants de leurs systèmes aux experts en sécurité analysant les menaces.
Les tableaux de bord des menaces d'EnigmaSoft affichent une variété d'informations utiles, notamment :
Classement de popularité : Le classement d'une menace particulière dans la base de données de menaces d'EnigmaSoft.
Niveau de gravité : le niveau de gravité déterminé d'un objet, représenté numériquement, sur la base de notre processus de modélisation des risques et de nos recherches, comme expliqué dans nos critères d'évaluation des menaces .
Ordinateurs infectés : le nombre de cas confirmés et suspects d'une menace particulière détectée sur des ordinateurs infectés, tel que rapporté par SpyHunter.
Voir aussi Critères d'évaluation des menaces .
| Niveau de menace: | 80 % (Haute) |
| Vu la première fois: | October 23, 2026 |
| Vu pour la dernière fois : | November 14, 2026 |
| Systèmes d'exploitation concernés: | Windows |
Trojan.ShellcodeRunner.FDF est un cheval de Troie Windows présentant un niveau de dangerosité de 8 sur 10. Il a été détecté pour la première fois le 23 octobre 2026 et plus récemment le 14 novembre 2026, avec 7 détections enregistrées. Il ne possède pas de signature numérique. Les chevaux de Troie de ce type se font passer pour des logiciels légitimes et agissent discrètement en arrière-plan.
Table des matières
Que fait la menace ?
D'après les informations recueillies, ShellcodeRunner.FDF s'installe furtivement et s'exécute silencieusement en arrière-plan tout en menant des actions malveillantes. Il peut donner aux attaquants un contrôle total sur un système infecté.
Le nom indique qu'il s'agit d'un chargeur de shellcode. Les programmes de ce type chargent et exécutent généralement du code supplémentaire directement en mémoire, ce qui peut ensuite permettre de télécharger ou de lancer d'autres logiciels malveillants. Le flux ne précise pas la charge utile de cet échantillon ; il convient donc de considérer ce comportement comme typique de cette catégorie.
Détails techniques issus du flux :
- Le fichier est un exécutable GUI natif Windows 64 bits, et non un programme .NET, et il n'est pas compressé.
- Il utilise des appels système de bas niveau via ntdll.dll, notamment pour l'écriture de fichiers, la libération de mémoire et l'interrogation des informations sur les processus. L'appel direct de ces fonctions est une technique couramment employée pour éviter la surveillance.
- Il vérifie la présence d'un débogueur à l'aide de IsDebuggerPresent, une méthode typique utilisée par les logiciels malveillants pour entraver l'analyse.
- Il lit les informations de localisation et les informations relatives aux objets de l'utilisateur.
- Il a modifié au moins deux fichiers, un fichier de type document et un fichier texte, dans des dossiers qui ressemblent à des emplacements de logiciels légitimes.
Les informations de version du fichier le présentent comme « Sciapisara Sync » ou « Stuvo Toolkit », avec des noms de sociétés et des mentions de copyright identiques. Il s'agit d'un leurre. Une description soignée ne garantit pas la fiabilité d'un fichier, surtout en l'absence de signature numérique.
Comment cela se retrouve généralement sur les ordinateurs
Le flux indique que ce cheval de Troie se propage le plus souvent par :
- Exploiter les vulnérabilités et les failles de sécurité du système.
- Téléchargements de logiciels depuis des sites web malveillants.
- Pièces jointes aux courriels provenant de sources non fiables, généralement des fichiers .exe, .pif, .avi et même .jpg.
Les faux installateurs et les outils « gratuits » constituent une voie de diffusion courante pour les chevaux de Troie. Le flux RSS mentionne des familles apparentées telles que Injector.NGC et Trojan.Injector.Gen.KFL, ce qui suggère un comportement d'injection de code similaire.
Risques pour l’utilisateur
Étant donné que le cheval de Troie peut donner aux pirates informatiques un contrôle total du système, les risques sont graves. Les conséquences typiques de ce type d'accès sont les suivantes :
- Vol de mots de passe, de données bancaires et de fichiers personnels.
- Installation de logiciels malveillants supplémentaires, tels que des rançongiciels ou des logiciels espions.
- Modification ou suppression de fichiers.
- Utilisation de l'ordinateur pour de nouvelles attaques.
Le flux indique que la description du comportement de la menace se poursuit au-delà de ce qui est montré, d'autres actions nuisibles sont donc possibles.
Signes d’infection
Les chevaux de Troie sont conçus pour rester invisibles, il est donc possible qu'aucun symptôme évident ne se manifeste. Parmi les signes avant-coureurs possibles, typiques de cette catégorie mais non confirmés pour cet échantillon, on peut citer :
- Des programmes inconnus, tels qu'une application « Sync » ou « Toolkit » inconnue, que vous n'avez pas installée.
- Présence inattendue de nouveaux fichiers ou de fichiers modifiés dans les dossiers de programmes ou de données.
- Performances ralenties ou activité réseau inexpliquée.
- Des paramètres de sécurité qui se modifient automatiquement.
- Comptes affichant des identifiants que vous ne reconnaissez pas.
Comment rester protégé
- Maintenez Windows et tous vos logiciels à jour afin que les vulnérabilités connues soient corrigées.
- Téléchargez les logiciels uniquement depuis le site web officiel de l'éditeur.
- N’ouvrez pas les pièces jointes provenant d’expéditeurs inconnus. Soyez prudent avec les fichiers exécutables et les images ou vidéos qui demandent à être « exécutées ».
- Vérifiez le type de fichier et la signature numérique de tout fichier que vous téléchargez. Une image ou une vidéo ne doit jamais être un fichier .exe ou .pif.
- Utilisez une solution anti-malware réputée et à jour, et effectuez régulièrement des analyses complètes.
- Sauvegardez vos fichiers importants sur un support qui n'est pas connecté en permanence à votre ordinateur.
Si vous soupçonnez une infection, déconnectez l'ordinateur d'Internet, effectuez une analyse complète du système et supprimez tout élément détecté. Modifiez ensuite vos mots de passe importants depuis un appareil sain. Si l'ordinateur a été utilisé pour des opérations bancaires ou professionnelles, il est également conseillé de contacter les fournisseurs concernés.
Bulletin d'analyse
Informations générales
| Nom de famille : | Trojan.ShellcodeRunner.FDF |
|---|---|
| Statut de la signature : | No Signature |
Échantillons connus
Échantillons connus
Cette section répertorie d'autres exemples de fichiers que l'on pense être associés à cette famille.|
MD5:
2a5dcdd46376d6ecf02ff98c6b1643b5
SHA1:
15d79c7a23b9870cc4f487199350101f3dbfa285
SHA256:
9005807048E97B49D5DEC776394E9EC9278881106E5ED3948E18A10E7D9655FC
Taille du fichier:
725.50 KB 725504 octets
|
|
MD5:
0394213adacba9d39893e131bec6c552
SHA1:
89050434a74c0c43867e9c3c19d8811c5fd89dee
SHA256:
DC97435089FBE1F40A56C5D85A81BEA606DB55E735D415923A531D81B6780194
Taille du fichier:
700.93 KB 700928 octets
|
Attributs des exécutables portables Windows
- File doesn't have "Rich" header
- File doesn't have exports table
- File doesn't have security information
- File has TLS information
- File is 64-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
Show 1 more
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Icônes de fichiers
Icônes de fichiers
Cette section présente les ressources d'icônes trouvées dans les échantillons de la famille. Les logiciels malveillants reproduisent souvent des icônes couramment associées à des logiciels légitimes afin d'induire les utilisateurs en erreur et de leur faire croire qu'ils sont sûrs.
Informations sur la version de Windows PE
Informations sur la version de Windows PE
Cette section présente les valeurs et les attributs définis dans la structure de données des informations de version des fichiers Windows pour les échantillons de cette famille. Afin de tromper les utilisateurs, les auteurs de logiciels malveillants ajoutent souvent de fausses informations de version imitant celles des logiciels légitimes.| Nom | Évaluer |
|---|---|
| Comments | Stuvo |
| Company Name |
|
| File Description |
|
| File Version |
|
| Internal Name |
|
| Legal Copyright |
|
| Original Filename |
|
| Product Name |
|
| Product Version |
|
Caractéristiques du fichier
- HighEntropy
- ntdll
- x64
Informations sur le bloc
Informations sur le bloc
Lors de l'analyse, EnigmaSoft segmente les échantillons de fichiers en blocs logiques afin de les classer et de les comparer à d'autres échantillons. Ces blocs permettent de générer des règles de détection de logiciels malveillants et de regrouper les échantillons de fichiers en familles en fonction du code source partagé, des fonctionnalités et d'autres attributs et caractéristiques distinctifs. Cette section présente un résumé de ces données de bloc, ainsi que leur classification par EnigmaSoft. Une représentation visuelle des données de bloc est également affichée, le cas échéant.| Nombre total de blocs : | 556 |
|---|---|
| Blocages potentiellement malveillants : | 50 |
| Blocs autorisés : | 445 |
| Blocs inconnus : | 61 |
Carte visuelle
? - Bloc inconnu
x - Blocage potentiellement malveillant
Familles similaires
Familles similaires
Cette section répertorie d'autres familles de logiciels malveillants présentant des similitudes avec celle-ci, d'après l'analyse d'EnigmaSoft. De nombreuses familles de logiciels malveillants sont créées à partir des mêmes kits d'outils et utilisent les mêmes techniques d'encapsulation et de chiffrement, tout en étendant leurs fonctionnalités de manière unique. Les familles similaires peuvent également partager le même code source, les mêmes attributs, les mêmes icônes, les mêmes sous-composants, les mêmes signatures numériques compromises ou invalides, ainsi que les mêmes caractéristiques réseau. Les chercheurs exploitent ces similitudes pour trier rapidement et efficacement les échantillons de fichiers et étendre les règles de détection des logiciels malveillants.- Injector.NGC
- ShellcodeRunner.FDF
- Trojan.Injector.Gen.KFL
Fichiers modifiés
Fichiers modifiés
Cette section répertorie les fichiers créés, modifiés, déplacés et/ou supprimés par les échantillons de cette famille. L'activité du système de fichiers peut fournir des informations précieuses sur le fonctionnement des logiciels malveillants au sein du système d'exploitation.| Déposer | Attributs |
|---|---|
| c:\program files (x86)\scary\eellaonk.pdf | Generic Write,Read Attributes |
| c:\programdata\mozilla firefox\szuenkeixooz.txt | Generic Write,Read Attributes |
Utilisation de l’API Windows
Utilisation de l'API Windows
Cette section répertorie les appels d'API Windows utilisés par les exemples de cette famille. L'analyse de l'utilisation des API Windows est un outil précieux permettant d'identifier les activités malveillantes, telles que l'enregistrement des frappes au clavier, l'élévation de privilèges, le chiffrement et l'exfiltration de données, l'interférence avec les logiciels antivirus et la manipulation des requêtes réseau.| Catégorie | API |
|---|---|
| Syscall Use |
Show 23 more
|
| Anti Debug |
|
| User Data Access |
|