Trojan.ShellcodeRunner.Gen.MB

Trojan.ShellcodeRunner.Gen.MB est un cheval de Troie Windows détecté sous un nom générique. Son niveau de dangerosité est évalué à 8/10. Ce type de détection indique généralement un programme qui charge et exécute du code caché (shellcode) en mémoire ; la charge utile réelle peut donc être invisible sur le disque. Cet échantillon a été observé pour la première fois le 27 mars 2026, et aucune date de dernière observation n'est disponible.

Que fait la menace ?

D'après les informations recueillies, ce cheval de Troie s'installe furtivement, s'exécute silencieusement en arrière-plan et effectue des actions malveillantes. Il peut donner aux attaquants un contrôle total sur le système infecté après son installation.

L'échantillon analysé présente plusieurs caractéristiques techniques :

• Il s'agit d'un exécutable natif Windows 32 bits non signé, doté d'une interface graphique, non compressé et n'étant pas une application .NET. Il présente une importante superposition (données supplémentaires ajoutées au fichier) et une entropie élevée, caractéristiques des données intégrées ou encodées.
• Les informations relatives à sa version le présentent comme un « utilitaire système » d'une société appelée « Unified Networks Inc. ». Les logiciels malveillants utilisent souvent des détails apparemment inoffensifs comme ceux-ci pour paraître légitimes.
• Il utilise des appels système de bas niveau via ntdll.dll, notamment des appels pour écrire des fichiers, libérer et interroger de la mémoire, et interroger des informations sur les processus.
• Il fait référence à NtUnmapViewOfSection, qui est associé à la manipulation et à l'évasion des processus, et à NtQuerySystemInformation, qui est associé aux contrôles anti-débogage.
• Cela crée un nouveau processus. La commande observée a lancé rundll32.exe pour exécuter un fichier du dossier Téléchargements de l'utilisateur avec un point d'entrée spécifié.

Le flux ne précise pas la charge utile finale. Parmi les familles similaires mentionnées figurent des voleurs de données et d'autres chevaux de Troie génériques, mais cela ne permet pas de confirmer le comportement de cet échantillon après son exécution.

Comment cela se retrouve généralement sur les ordinateurs

Le flux indique que ce cheval de Troie se propage par :

• Exploiter les vulnérabilités et les failles de sécurité du système.
• Téléchargements de logiciels depuis des sites web malveillants.
• Pièces jointes aux courriels provenant de sources non fiables, généralement des fichiers .exe, .pif, .avi et même .jpg.

Le lancement observé depuis un dossier Téléchargements correspond à un fichier téléchargé puis exécuté, mais le flux ne confirme pas le chemin de livraison exact pour cet échantillon.

Risques pour l’utilisateur

Le contrôle total à distance représente le principal danger. Un attaquant disposant de ce niveau d'accès peut généralement voler des mots de passe et des fichiers personnels, installer d'autres logiciels malveillants, surveiller l'activité du système ou utiliser l'ordinateur pour d'autres attaques. Comme le shellcode s'exécute en mémoire et peut être associé à la manipulation de processus, il est plus difficile à détecter avec des outils de base.

Signes d’infection

Le flux RSS ne mentionne aucun symptôme visible. Les chevaux de Troie de ce type fonctionnent généralement discrètement, il est donc possible qu'aucun symptôme ne soit présent. Voici quelques indices possibles :

• Un programme inconnu appelé « Utilitaire système » ou un processus rundll32.exe exécutant un fichier du dossier Téléchargements.
• Ralentissements inattendus, plantages ou utilisation élevée du processeur ou du réseau.
• Le logiciel de sécurité est désactivé ou les paramètres sont modifiés sans votre intervention.
• Des connexions ou une activité de compte inconnues pourraient indiquer des identifiants volés.

Comment rester protégé

• Maintenez Windows et tous les logiciels installés à jour afin de corriger les vulnérabilités connues.
• Téléchargez les logiciels uniquement à partir de sources officielles et fiables.

Si vous soupçonnez une infection, déconnectez-vous d'Internet, effectuez une analyse complète avec un outil de sécurité à jour et supprimez tout élément détecté. Modifiez ensuite vos mots de passe importants depuis un appareil sain. Si le système présente toujours un comportement anormal, envisagez de faire appel à un professionnel ou de réinstaller Windows.