حمله فیشینگ جدیدی با نام TTF Trap، کاربران و سازمان‌هایی را که از سیستم‌عامل ویندوز استفاده می‌کنند، با استفاده از فایل‌های فونت جعلی (Fake Font Files) هدف قرار داده است. در این حمله فیشینگ، مهاجمان ایمیل‌هایی با ظاهر معتبر شامل اسناد حمل‌ونقل، درخواست‌های پرداخت یا پیشنهادهای تجاری ارسال می‌کنند و فایل‌هایی با پسوند آشنای .ttf را به‌عنوان یک فونت معمولی نمایش می‌دهند؛ در حالی که این فایل‌ها در واقع یک اسکریپت مخرب Lua را در خود پنهان کرده‌اند. این اسکریپت با کمک لودرهای Lua که شناسایی آن‌ها برای ابزارهای امنیتی دشوارتر است، فرآیند اجرای بدافزار را آغاز می‌کند.
آزمایشگاه FortiGuard Labs اعلام کرده است که این کمپین از اواخر مارس 2026 به‌طور گسترده فعال بوده و بررسی‌های پژوهشگران نشان می‌دهد نسخه‌های اولیه لودر مورد استفاده در این عملیات به اکتبر 2025 بازمی‌گردد.
مهاجمان در این عملیات با بهره‌گیری از اعتماد کاربران به فایل‌های فونت رایج در ویندوز، بدافزارهایی را روی سیستم قربانی اجرا می‌کنند که امکان سرقت اطلاعات حساس، ثبت کلیدهای فشرده‌شده کاربر (Keystrokes) و حتی کنترل از راه دور سیستم آلوده را برای آن‌ها فراهم می‌کند.
اجرای حمله فیشینگ TTF Trap با ایمیل‌های جعلی
ایمیل‌های این حمله فیشینگ با جعل هویت شرکت‌های شناخته‌شده ارسال می‌شوند و با موضوعاتی مانند سفارش کالا، فاکتور، اسناد حمل‌ونقل، درخواست پرداخت یا پیشنهاد همکاری تجاری، کاربران را هدف قرار می‌دهند. برخی از این ایمیل‌ها حاوی فایل‌های آرشیو ZIP یا RAR هستند و برخی دیگر لینک‌هایی را در اختیار کاربر قرار می‌دهند که او را به دانلود این فایل‌ها ترغیب می‌کند. مهاجمان با ایجاد حس فوریت، کاربران را تحت فشار قرار می‌دهند تا بدون بررسی کافی، فایل‌های پیوست را باز کرده یا محتوای مخرب را دانلود کنند.
پس از باز شدن آرشیو، یک فایل JScript با تکنیک مبهم‌سازی (Obfuscation) اجرا می‌شود که با افزودن حجم زیادی از کدهای ساختگی و اضافی (Junk Code)، تلاش می‌کند فرآیند شناسایی خودکار و تحلیل دستی را دشوار کند. این اسکریپت ابتدا یک نسخه از خود را در پوشه کتابخانه‌های عمومی ویندوز (Windows Public Libraries) کپی می‌کند، سپس با ایجاد یک تسک زمان‌بندی‌شده (Scheduled Task)، پایداری (Persistence) خود را در سیستم حفظ کرده و فایل‌های اضافی پنهان‌شده در کد خود را دیکد (Decode) می‌کند.
در میان فایل‌های استخراج‌شده، یک مفسر قانونی AutoIt یا LuaJIT (LuaJIT Interpreter) در کنار یک اسکریپت مخرب قرار دارد. مهاجمان برای پنهان‌سازی این اسکریپت، آن را با پسوند .ttfارائه می‌کنند تا شبیه یک فایل TrueType Font به نظر برسد؛ در حالی که این فایل در واقع حاوی کد اجرایی Lua است. پس از فراخوانی فایل توسط مفسر، محتوای پنهان آن رمزگشایی شده و مرحله بعدی زنجیره آلودگی اجرا می‌شود.
پس از دیکد شدن، لودر کد Donut Shellcode را مستقیماً در حافظه اجرا می‌کند. این تکنیک با کاهش فایل‌هایی که روی دیسک ایجاد می‌شوند، به مهاجمان کمک می‌کند تا ردپای کمتری از فعالیت مخرب خود باقی بگذارند و شناسایی تهدید دشوارتر شود. در یک نسخه مرتبط مبتنی بر AutoIt نیز، مهاجمان پردازه قانونی ویندوز با نام colorcpl.exe را در حالت تعلیق (Suspended State) اجرا کرده و سپس با استفاده از تکنیک تزریق پردازه (Process Injection)، کد مخرب را داخل این پردازه بارگذاری و اجرا می‌کنند.
تحلیل Fortinet از این حمله فیشینگ نشان می‌دهد نسخه‌های جدیدتر این لودر روش‌های ضدتحلیل بیشتری را به کار گرفته‌اند تا فرآیند دیباگینگ (Debugging) و شناسایی آن برای تحلیلگران امنیتی دشوارتر شود.
بدافزار نهایی مورد استفاده در حملات مختلف، بسته به نمونه حمله متفاوت است. پژوهشگران FortiGuard Labs خانواده‌های بدافزاری مانند Agent Tesla، Remcos، XWorm و چندین نسخه از Snake Keylogger، از جمله Best Private LOGGER را شناسایی کرده‌اند. این ابزارهای مخرب با قابلیت‌هایی مانند سرقت اطلاعات ورود و داده‌های حساس، ثبت کلیدهای فشرده‌شده کاربر و ایجاد دسترسی از راه دور به سیستم آلوده، امکان کنترل و سوءاستفاده از دستگاه قربانی را برای مهاجمان فراهم می‌کنند.
روش‌های فریب در حمله فیشینگ TTF Trap
به گفته پژوهشگران شرکت Sectigo، این کمپین نشان می‌دهد که نمی‌توان تنها بر اساس نام فایل یا پسوند آن، درباره محتوای واقعی یک فایل قضاوت کرد. مفسر، اسکریپت و فایل فونت جعلی ممکن است در بررسی‌های جداگانه تهدیدآمیز به نظر نرسند، اما اجرای زنجیره‌ای آن‌ها در کنار یکدیگر می‌تواند زمینه را برای اجرای ابزارهای دسترسی از راه دور و بدافزارهای رباینده اطلاعات فراهم کند.
به گفته پژوهشگران، سازمان‌ها نباید تنها به نام و ظاهر فایل‌ها اعتماد کنند، بلکه باید محتوای فایل، عملکرد آن و نحوه اجرای آن در سیستم را نیز بررسی کنند. در این حمله فیشینگ، گیت‌وی‌های ایمیل و محیط‌های سندباکس (Sandboxes) باید توانایی بررسی آرشیوهای تو در تو (Nested Archives)، دنبال کردن لینک‌های دانلود موجود در ایمیل‌ها و شناسایی اسکریپت‌هایی با پسوندهای فریبنده را داشته باشند.
علاوه بر این، در سیستم‌هایی که استفاده از Windows Script Host، AutoIt و LuaJIT ضرورت ندارد، سازمان‌ها باید اجرای این ابزارها را با استفاده از کنترل اپلیکیشن محدود کنند؛ به‌خصوص در پوشه‌هایی که کاربران در آن‌ها دسترسی نوشتن و ذخیره‌سازی فایل دارند.
توصیه‌های امنیتی برای شناسایی و مقابله با تهدید
با توجه به اینکه لودر مورد استفاده در این عملیات بارها تغییر کرده است، شناسایی تهدید نباید تنها به هش فایل‌ها یا سرورهای فرماندهی و کنترل موجود در فهرست شاخص‌های تهدید (Indicators) محدود شود. در این حمله فیشینگ، مهاجمان با تغییر مداوم ابزارهای خود تلاش می‌کنند روش‌های شناسایی مبتنی بر امضای ثابت (Signature-Based Detection) را دور بزنند؛ به همین دلیل، سازمان‌ها باید علاوه بر فایل‌ها و شاخص‌های شناخته‌شده، فعالیت‌های غیرعادی در سیستم‌ها را نیز زیر نظر داشته باشند.
سازمان‌ها باید موارد زیر را به‌صورت مستمر زیر نظر داشته باشند:
- اجرای مفسرهای اسکریپت که از طریق ایمیل یا فایل‌های آرشیو راه‌اندازی می‌شوند
- استفاده غیرمعمول از پردازه قانونی ویندوز با نام exe
- تخصیص حافظه از راه دور (Remote Memory Allocation)
- اجرای تکنیک تزریق پردازه (Process Injection)
- اجرای شل‌کد (Shellcode Execution)
همچنین کاربران باید نسبت به ایمیل‌های ناشناس یا درخواست‌هایی که انتظار دریافت آن‌ها را ندارند، دقت بیشتری داشته باشند و پیش از باز کردن فایل‌ها، صحت درخواست را از طریق یک مسیر ارتباطی مستقل با فرستنده اصلی بررسی کنند. یک فایل .ttf موجود در یک آرشیو تجاری نباید برای اجرا به مفسر یا اسکریپت نیاز داشته باشد؛ به همین دلیل، هرگونه درخواست برای اجرای چنین فایل‌هایی باید پیش از باز کردن، مورد بررسی قرار گرفته و گزارش شود.
