Trojan.ShellcodeRunner.FDF
Wertungsliste der Bedrohung
EnigmaSoft Bedrohungs-Scorecard
EnigmaSoft Threat Scorecards sind Bewertungsberichte für verschiedene Malware-Bedrohungen, die von unserem Forschungsteam gesammelt und analysiert wurden. EnigmaSoft Threat Scorecards bewerten und stufen Bedrohungen anhand verschiedener Metriken ein, darunter reale und potenzielle Risikofaktoren, Trends, Häufigkeit, Prävalenz und Persistenz. EnigmaSoft Threat Scorecards werden regelmäßig auf der Grundlage unserer Forschungsdaten und -metriken aktualisiert und sind für eine Vielzahl von Computerbenutzern nützlich, von Endbenutzern, die nach Lösungen suchen, um Malware von ihren Systemen zu entfernen, bis hin zu Sicherheitsexperten, die Bedrohungen analysieren.
EnigmaSoft Threat Scorecards zeigen eine Vielzahl nützlicher Informationen an, darunter:
Popularitätsrang: Die Rangfolge einer bestimmten Bedrohung in der Bedrohungsdatenbank von EnigmaSoft.
Schweregrad: Der ermittelte Schweregrad eines Objekts, numerisch dargestellt, basierend auf unserem Risikomodellierungsprozess und unserer Forschung, wie in unseren Kriterien zur Bedrohungsbewertung erläutert.
Infizierte Computer: Die Anzahl der bestätigten und vermuteten Fälle einer bestimmten Bedrohung, die auf infizierten Computern entdeckt wurden, wie von SpyHunter gemeldet.
Siehe auch Kriterien für die Bedrohungsbewertung .
| Bedrohungsstufe: | 80 % (Hoch) |
| Zum ersten Mal gesehen: | October 23, 2026 |
| Zuletzt gesehen: | November 14, 2026 |
| Betroffene Betriebssysteme: | Windows |
Trojan.ShellcodeRunner.FDF ist ein Windows-Trojaner mit einer Gefährdungsstufe von 8 von 10. Er wurde erstmals am 23.10.2026 und zuletzt am 14.11.2026 gesichtet, wobei 7 Meldungen im Feed verzeichnet wurden. Er besitzt keine digitale Signatur. Trojaner wie dieser tarnen sich als legitime Software und arbeiten unbemerkt im Hintergrund.
Inhaltsverzeichnis
Was die Bedrohung bewirkt
Dem Bericht zufolge installiert sich ShellcodeRunner.FDF unbemerkt und läuft im Hintergrund, während es schädliche Aktionen ausführt. Es kann Angreifern die vollständige Kontrolle über ein infiziertes System ermöglichen.
Der Name deutet auf einen Shellcode-Loader hin. Solche Programme laden und führen typischerweise zusätzlichen Code direkt im Speicher aus, der dann weitere Schadsoftware herunterladen oder starten kann. Der Feed gibt nicht an, welche Nutzlast diese Probe enthält; daher ist dies als typisches Verhalten für diese Kategorie zu betrachten.
Technische Details aus dem Feed:
- Bei der Datei handelt es sich um eine native 64-Bit-Windows-GUI-Anwendung, nicht um ein .NET-Programm, und sie ist nicht gepackt.
- Es nutzt systemnahe Aufrufe über ntdll.dll, darunter Aufrufe zum Schreiben von Dateien, Freigeben von Speicher und Abfragen von Prozessinformationen. Der direkte Aufruf dieser Funktionen ist eine gängige Methode, um die Überwachung zu umgehen.
- Es prüft mithilfe von IsDebuggerPresent, ob ein Debugger vorhanden ist – eine typische Methode, mit der Malware die Analyse behindern kann.
- Es liest Benutzergebietsschema- und Benutzerobjektinformationen.
- Es veränderte mindestens zwei Dateien, eine Dokumentdatei und eine Textdatei, in Ordnern, die legitimen Software-Speicherorten ähneln.
Die Versionsinformationen der Datei geben sie als „Sciapisara Sync“ oder „Stuvo Toolkit“ an, inklusive übereinstimmender Firmennamen und Copyright-Vermerke. Dies ist eine Tarnung. Eine professionell wirkende Beschreibung macht eine Datei nicht vertrauenswürdig, insbesondere wenn sie keine digitale Signatur aufweist.
Wie es üblicherweise auf Computer gelangt
Laut dem Feed verbreitet sich dieser Trojaner am häufigsten auf folgende Weise:
- Ausnutzen von Systemschwachstellen und Sicherheitslücken.
- Software-Downloads von schädlichen Webseiten.
- E-Mail-Anhänge aus nicht vertrauenswürdigen Quellen, in der Regel .exe-, .pif-, .avi- und sogar .jpg-Dateien.
Gefälschte Installationsprogramme und vermeintlich kostenlose Tools sind ein typischer Verbreitungsweg für Trojaner. Der Feed listet verwandte Familien wie Injector.NGC und Trojan.Injector.Gen.KFL auf, was auf ein ähnliches Code-Injection-Verhalten hindeutet.
Risiken für den Nutzer
Da der Trojaner Hackern die vollständige Kontrolle über das System ermöglichen kann, sind die Risiken gravierend. Typische Folgen eines solchen Zugriffs sind:
- Diebstahl von Passwörtern, Bankdaten und persönlichen Dateien.
- Installation zusätzlicher Schadsoftware, wie z. B. Ransomware oder Spyware.
- Änderungen an oder Löschung von Dateien.
- Nutzung des Computers für weitere Angriffe.
Im Feed wird darauf hingewiesen, dass die Beschreibung des Verhaltens der Bedrohung über das Dargestellte hinausgeht, sodass weitere schädliche Handlungen möglich sind.
Anzeichen einer Infektion
Trojaner sind so konzipiert, dass sie unentdeckt bleiben, daher treten möglicherweise keine offensichtlichen Symptome auf. Mögliche Warnzeichen, die typisch für diese Kategorie sind, aber für dieses Beispiel nicht bestätigt wurden, sind:
- Unbekannte Programme, wie zum Beispiel eine unbekannte „Sync“- oder „Toolkit“-Anwendung, die Sie nicht installiert haben.
- Unerwartete neue oder geänderte Dateien in Programm- oder Datenordnern.
- Langsamere Leistung oder unerklärliche Netzwerkaktivität.
- Sicherheitseinstellungen, die sich von selbst ändern.
- Konten mit Anmeldedaten, die Sie nicht kennen.
Wie man sich schützt
- Halten Sie Windows und Ihre gesamte Software auf dem neuesten Stand, damit bekannte Sicherheitslücken geschlossen werden.
- Laden Sie Software nur von der offiziellen Website des Herausgebers herunter.
- Öffnen Sie keine Anhänge von unbekannten Absendern. Seien Sie vorsichtig mit ausführbaren Dateien sowie mit Bildern oder Videos, die zum Ausführen auffordern.
- Prüfen Sie vor dem Herunterladen den Dateityp und die digitale Signatur. Bilder und Videos sollten niemals im .exe- oder .pif-Format vorliegen.
- Verwenden Sie eine seriöse, aktuelle Anti-Malware-Lösung und führen Sie regelmäßig vollständige Scans durch.
- Sichern Sie wichtige Dateien an einem Ort, der nicht dauerhaft mit Ihrem Computer verbunden ist.
Bei Verdacht auf eine Infektion trennen Sie den Computer vom Internet, führen Sie einen vollständigen Systemscan durch und entfernen Sie alle gefundenen Schadprogramme. Ändern Sie anschließend Ihre wichtigen Passwörter auf einem sauberen Gerät. Wurde der Computer für Online-Banking oder berufliche Zwecke genutzt, sollten Sie auch die entsprechenden Anbieter kontaktieren.
Analysebericht
Allgemeine Information
| Nachname: | Trojan.ShellcodeRunner.FDF |
|---|---|
| Signaturstatus: | No Signature |
Bekannte Proben
Bekannte Proben
Dieser Abschnitt listet weitere Dateibeispiele auf, von denen angenommen wird, dass sie mit dieser Familie in Verbindung stehen.|
MD5:
2a5dcdd46376d6ecf02ff98c6b1643b5
SHA1:
15d79c7a23b9870cc4f487199350101f3dbfa285
SHA256:
9005807048E97B49D5DEC776394E9EC9278881106E5ED3948E18A10E7D9655FC
Dateigröße:
725.50 KB, 725504 Bytes
|
|
MD5:
0394213adacba9d39893e131bec6c552
SHA1:
89050434a74c0c43867e9c3c19d8811c5fd89dee
SHA256:
DC97435089FBE1F40A56C5D85A81BEA606DB55E735D415923A531D81B6780194
Dateigröße:
700.93 KB, 700928 Bytes
|
Attribute der portablen Windows-Ausführungsdatei
- File doesn't have "Rich" header
- File doesn't have exports table
- File doesn't have security information
- File has TLS information
- File is 64-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
Show 1 more
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Dateisymbole
Dateisymbole
Dieser Abschnitt zeigt Symbolressourcen, die in Familienbeispielen gefunden wurden. Schadsoftware verwendet häufig Symbole, die üblicherweise mit legitimer Software in Verbindung gebracht werden, um Benutzer in die Irre zu führen und ihnen vorzugaukeln, die Schadsoftware sei harmlos.
Windows PE Versionsinformationen
Windows PE Versionsinformationen
Dieser Abschnitt zeigt die Werte und Attribute, die in der Windows-Dateiversionsinformationsstruktur für Beispiele dieser Familie festgelegt wurden. Um Benutzer irrezuführen, fügen Malware-Angreifer häufig gefälschte Versionsinformationen hinzu, die legitime Software imitieren.| Name | Wert |
|---|---|
| Comments | Stuvo |
| Company Name |
|
| File Description |
|
| File Version |
|
| Internal Name |
|
| Legal Copyright |
|
| Original Filename |
|
| Product Name |
|
| Product Version |
|
Dateieigenschaften
- HighEntropy
- ntdll
- x64
Blockinformationen
Blockinformationen
Während der Analyse zerlegt EnigmaSoft Dateiproben in logische Blöcke zur Klassifizierung und zum Vergleich mit anderen Proben. Anhand dieser Blöcke lassen sich Regeln zur Malware-Erkennung generieren und Dateiproben basierend auf gemeinsamem Quellcode, Funktionalität und anderen charakteristischen Merkmalen in Familien einteilen. Dieser Abschnitt enthält eine Zusammenfassung dieser Blockdaten sowie deren Klassifizierung durch EnigmaSoft. Sofern verfügbar, wird auch eine visuelle Darstellung der Blockdaten angezeigt.| Gesamtanzahl der Blöcke: | 556 |
|---|---|
| Potenziell schädliche Blöcke: | 50 |
| Zugelassene Blocker: | 445 |
| Unbekannte Blöcke: | 61 |
Visuelle Karte
? – Unbekannter Block
x – Potenziell schädliche Sperre
Ähnliche Familien
Ähnliche Familien
Dieser Abschnitt listet weitere Malware-Familien auf, die basierend auf der Analyse von EnigmaSoft Ähnlichkeiten mit dieser Familie aufweisen. Viele Malware-Familien werden aus denselben Malware-Toolkits erstellt und verwenden dieselben Pack- und Verschlüsselungstechniken, erweitern ihre Funktionalität jedoch auf einzigartige Weise. Ähnliche Familien können auch Quellcode, Attribute, Symbole, Unterkomponenten, kompromittierte und/oder ungültige digitale Signaturen sowie Netzwerkmerkmale gemeinsam haben. Forscher nutzen diese Ähnlichkeiten, um Dateiproben schnell und effektiv zu priorisieren und Regeln zur Malware-Erkennung zu erweitern.- Injector.NGC
- ShellcodeRunner.FDF
- Trojan.Injector.Gen.KFL
Geänderte Dateien
Geänderte Dateien
Dieser Abschnitt listet Dateien auf, die von Malware-Proben dieser Familie erstellt, geändert, verschoben und/oder gelöscht wurden. Die Aktivitäten im Dateisystem können wertvolle Einblicke in die Funktionsweise von Malware auf dem Betriebssystem liefern.| Datei | Attribute |
|---|---|
| c:\program files (x86)\scary\eellaonk.pdf | Generic Write,Read Attributes |
| c:\programdata\mozilla firefox\szuenkeixooz.txt | Generic Write,Read Attributes |
Windows-API-Nutzung
Windows-API-Nutzung
Dieser Abschnitt listet die von den Beispielen dieser Familie verwendeten Windows-API-Aufrufe auf. Die Analyse der Windows-API-Nutzung ist ein wertvolles Werkzeug zur Erkennung schädlicher Aktivitäten wie Keylogging, Rechteausweitung, Datenverschlüsselung, Datenexfiltration, Manipulation von Antivirensoftware und Netzwerkmanipulation.| Kategorie | API |
|---|---|
| Syscall Use |
Show 23 more
|
| Anti Debug |
|
| User Data Access |
|