Trojan.Rugmi.PGD

Trojan.Rugmi.PGD, 10 üzerinden 8 tehlike seviyesine sahip bir Windows Truva atıdır. İlk olarak 03.11.2026 tarihinde, son olarak ise 11.11.2026 tarihinde tespit edilmiştir. Kayıtlara göre şu ana kadar yalnızca bir tespit yapılmıştır, ancak bu tür bir Truva atı bilgisayarda çalışmaya başladıktan sonra yine de ciddi hasara yol açabilir.

Tehdidin yaptığı şey

Verilen bilgilere göre, Rugmi.PGD kendini gizlice kuruyor ve ardından kötü amaçlı işlevleri yerine getirirken arka planda sessizce çalışıyor. Kurulumdan sonra saldırganlara bulaşmış sistem üzerinde tam kontrol sağlayabilir. Ayrıca gizlice dosyaları silebilir ve ek kötü amaçlı yazılımlar yükleyebilir.

Analiz edilen dosyada dijital imza veya gömülü güvenlik bilgisi bulunmamaktadır. 64 bitlik yerel bir Windows programıdır ( .NET değil) ve paketlenmemiştir. Dışa aktarma tablosu ve TLS bilgileri içermektedir. Analiz edilen 216 kod bloğundan 37'si potansiyel olarak kötü amaçlı olarak işaretlenmiş, 179'u ise bilinen temiz kodla eşleşmiştir.

Dosyanın sürüm bilgileri, onu "OperationUI" (orijinal dosya adı OperationUI.dll), sürüm 11.25.1, geek software GmbH tarafından "PDF24 Creator" ürün adıyla tanımlıyor. Bu meta veriler tek başına yazılım satıcısının dahil olduğunu göstermiyor. Truva atları genellikle zararsız görünmek için meşru programların adlarını ve ayrıntılarını ödünç alırlar; bu, bu kategori için tipik bir davranıştır. Dosya ayrıca özelliklerine göre bir DLL olarak listeleniyor, ancak PE başlığında DLL bayrağı ayarlanmamış; bu tutarsızlık, şüpheyle yaklaşılmasını gerektiriyor.

Kaydedilen davranışlar arasında ntdll.dll dosyasındaki NtWriteFile, NtQueryVirtualMemory, NtFreeVirtualMemory ve NtQueryInformationProcess gibi düşük seviyeli Windows fonksiyonlarına yapılan çağrılar yer almaktadır. Bu çağrılar dosya yazma, bellek inceleme ve işlem bilgilerini sorgulama işlemlerini kapsar. Kendi başlarına zararlı değillerdir, ancak kötü amaçlı yazılımlar genellikle işletim sistemine yakın çalışmak için bunları kullanır.

Bilgisayarlara genellikle nasıl bulaşıyor?

Haber akışına göre Rugmi.PGD en sık şu yollarla yayılıyor:

• Sistemdeki güvenlik açıklarından ve zafiyetlerden yararlanmak.
• Zararlı web sitelerinden yazılım indirmeleri.
• Güvenilmeyen kaynaklardan gelen e-posta ekleri, genellikle .exe, .pif, .avi ve hatta .jpg dosyalarıdır.

Çalıştırılabilir bir dosyayı resim veya video gibi gizlemek, tipik bir Truva atı taktiğidir. Çift uzantılar ve tanıdık simgeler, bir dosyanın güvenli görünmesini sağlamanın yaygın yollarıdır.

Kullanıcı için riskler

• Kontrol kaybı: Saldırganlar sistemin tam kontrolünü ele geçirebilirler.
• Veri kaybı: Dosyalar bilginiz dışında silinebilir.
• Daha fazla enfeksiyon: Bilgisayara ek kötü amaçlı yazılımlar yüklenebilir.
• Gizlilik ve hesap riski: Genellikle uzaktan kontrol yeteneğine sahip Truva atları kişisel dosyaları ve kaydedilmiş giriş bilgilerini açığa çıkarabilir. Haber kaynağında Rugmi.PGD'nin ne çaldığı belirtilmiyor.

Enfeksiyon belirtileri

Tehdit sessiz kalacak şekilde tasarlanmıştır, bu nedenle belirgin semptomlar olmayabilir. Bu belirtiler genel olarak Trojan enfeksiyonları için tipiktir ve hiçbiri Rugmi.PGD'ye özgü değildir.

• Eksik olan veya açıklama yapılmadan değiştirilmiş dosyalar.
• Yüklemediğiniz, daha önce karşılaşmadığınız programlar veya işlemler.
• Daha yavaş performans veya beklenmedik ağ etkinliği.
• Değiştirilen veya devre dışı bırakılan güvenlik ayarları.
• Tanınmış bir satıcıdan geldiğini iddia eden ancak imzalanmamış veya alışılmadık bir klasörde bulunan bir program.

Nasıl korunabilirsiniz?

1. Bu Truva atının istismar edebileceği güvenlik açıklarını kapatmak için Windows'u ve yüklü tüm yazılımları güncel tutun.
2. Yazılımları yalnızca geliştiricilerin resmi web sitelerinden indirin ve bilinmeyen indirme portallarından uzak durun.
3. Tanımadığınız göndericilerden gelen ekleri açmayın. .exe veya .pif gibi dosyalara ve bir şey çalıştırmanızı isteyen "resimler" veya "videolar"a dikkat edin.
4. Programların beklediğiniz yayıncı tarafından dijital olarak imzalandığından emin olun. Tanınmış bir ürüne ait olduğunu iddia eden imzasız bir dosya şüphe uyandırır.
5. Düzenli yedeklemelerinizi bilgisayarınıza kalıcı olarak bağlı olmayan bir sürücüye veya hizmete yapın.
6. Virüs bulaştığından şüpheleniyorsanız, güncel ve güvenilir bir güvenlik aracıyla tam tarama yapın ve tespit ettiği her şeyi kaldırın.

Eğer bilgisayarınızda Truva atının aktif olduğuna inanıyorsanız, internet bağlantısını kesin. Ardından sistemi tarayın ve temizleyin, önemli şifrelerinizi farklı ve güvenilir bir cihazdan değiştirin. Bilgisayarda hassas veriler varsa, profesyonel yardım almayı düşünün.

Analiz raporu

Genel bilgi

Soyadı:	Trojan.Rugmi.PGD
İmza durumu:	No Signature

Bilinen Örnekler

i

Bilinen Örnekler

Bu bölümde, bu aileyle ilişkili olduğuna inanılan diğer dosya örnekleri listelenmiştir.

MD5: b8d4252eea7dd8cc16fed617ec722dd7 SHA1: b167f59d5a9f9159674a3ddad64ca1becda5afd4 SHA256: 15368EB08AAD3453ECF3FB4532F3203CF36606845018C7C31D7A1233212C7180 Dosya boyutu: 79.36 KB.79360 bayt

Windows Taşınabilir Çalıştırılabilir Dosya Özellikleri

i

Windows Taşınabilir Çalıştırılabilir Dosya Özellikleri

Bu bölümde, örnek dosyalarda bulunan dosya öznitelikleri listelenmiştir. Bu öznitelikler, dosyaların Windows PE (Taşınabilir Çalıştırılabilir) spesifikasyonundan ve çeşitli sistem bayraklarından çıkarılır. Taşınabilir Çalıştırılabilir Öznitelikler, kötü amaçlı yazılım araştırmacılarına bir dosyanın işlevselliği, çalıştırılabilir ayrıntıları, platformu ve çalışma ortamı hakkında bilgi verir.

• File doesn't have "Rich" header
• File doesn't have security information
• File has exports table
• File has TLS information
• File is 64-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)

Show 1 more

• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Windows PE Sürüm Bilgileri

i

Windows PE Sürüm Bilgileri

Bu bölümde, bu aileye ait örnekler için Windows dosya sürüm bilgisi veri yapısında ayarlanmış değerler ve öznitelikler görüntülenir. Kullanıcıları yanıltmak için, kötü amaçlı yazılım saldırganları genellikle meşru yazılımları taklit eden sahte sürüm bilgileri ekler.

isim	Değer
Company Name	geek software GmbH
File Description	OperationUI
File Version	11.25.1
Internal Name	OperationUI
Legal Copyright	geek software GmbH
Original Filename	OperationUI.dll
Product Name	PDF24 Creator
Product Version	11.25.1

Dosya Özellikleri

• dll
• x64

Blok Bilgileri

i

Blok Bilgileri

Analiz sırasında EnigmaSoft, dosya örneklerini sınıflandırma ve diğer örneklerle karşılaştırma için mantıksal bloklara ayırır. Bloklar, kötü amaçlı yazılım tespit kuralları oluşturmak ve dosya örneklerini paylaşılan kaynak koduna, işlevselliğe ve diğer ayırt edici özelliklere ve niteliklere göre gruplara ayırmak için kullanılabilir. Bu bölümde, bu blok verilerinin bir özeti ve EnigmaSoft tarafından yapılan sınıflandırması listelenmiştir. Ayrıca, mevcutsa, blok verilerinin görsel bir temsili de gösterilmektedir.

Toplam Blok Sayısı:	216
Potansiyel Olarak Zararlı Bloklar:	37
Beyaz Listeye Alınan Bloklar:	179
Bilinmeyen Bloklar:	0

Görsel Harita

0 - Muhtemel Güvenli Blok
? - Bilinmeyen Blok
x - Potansiyel Olarak Kötü Amaçlı Engelleme

Benzer Aileler

i

Benzer Aileler

Bu bölümde, EnigmaSoft'un analizine dayanarak bu aileyle benzerlikler gösteren diğer aileler listelenmiştir. Birçok kötü amaçlı yazılım ailesi aynı kötü amaçlı yazılım araç setlerinden oluşturulur ve aynı paketleme ve şifreleme tekniklerini kullanır, ancak işlevselliği benzersiz bir şekilde genişletir. Benzer aileler ayrıca kaynak kodunu, öznitelikleri, simgeleri, alt bileşenleri, tehlikeye atılmış ve/veya geçersiz dijital imzaları ve ağ özelliklerini de paylaşabilir. Araştırmacılar, dosya örneklerini hızlı ve etkili bir şekilde sınıflandırmak ve kötü amaçlı yazılım tespit kurallarını genişletmek için bu benzerliklerden yararlanır.

• Rugmi.PGD

Windows API Kullanımı

i

Windows API Kullanımı

Bu bölümde, bu ailedeki örnekler tarafından kullanılan Windows API çağrıları listelenmiştir. Windows API kullanım analizi, keylogging, güvenlik ayrıcalığı yükseltme, veri şifreleme, veri sızdırma, antivirüs yazılımlarına müdahale ve ağ isteği manipülasyonu gibi kötü amaçlı faaliyetleri belirlemeye yardımcı olabilecek değerli bir araçtır.

Kategori

API

Syscall Use

ntdll.dll!NtAlpcSendWaitReceivePort ntdll.dll!NtApphelpCacheControl ntdll.dll!NtClose ntdll.dll!NtConnectPort ntdll.dll!NtCreateFile ntdll.dll!NtCreateSection ntdll.dll!NtEnumerateKey ntdll.dll!NtEnumerateValueKey ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtMapViewOfSection Show 36 more ntdll.dll!NtOpenFile ntdll.dll!NtOpenKey ntdll.dll!NtOpenKeyEx ntdll.dll!NtOpenProcessToken ntdll.dll!NtOpenSection ntdll.dll!NtProtectVirtualMemory ntdll.dll!NtQueryAttributesFile ntdll.dll!NtQueryDebugFilterState ntdll.dll!NtQueryInformationFile ntdll.dll!NtQueryInformationProcess ntdll.dll!NtQueryInformationThread ntdll.dll!NtQueryInformationToken ntdll.dll!NtQueryKey ntdll.dll!NtQueryPerformanceCounter ntdll.dll!NtQuerySecurityAttributesToken ntdll.dll!NtQueryValueKey ntdll.dll!NtQueryVirtualMemory ntdll.dll!NtQueryVolumeInformationFile ntdll.dll!NtReadFile ntdll.dll!NtReleaseWorkerFactoryWorker ntdll.dll!NtRequestWaitReplyPort ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationKey ntdll.dll!NtSetInformationProcess ntdll.dll!NtSetInformationVirtualMemory ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtTestAlert ntdll.dll!NtTraceControl ntdll.dll!NtUnmapViewOfSection ntdll.dll!NtWaitForAlertByThreadId ntdll.dll!NtWaitForSingleObject ntdll.dll!NtWaitForWorkViaWorkerFactory ntdll.dll!NtWaitLowEventPair ntdll.dll!NtWorkerFactoryWorkerReady ntdll.dll!NtWriteFile UNKNOWN