Fortinet ha detectado una campaña masiva de phishing de compromiso de correo empresarial (BEC) que utiliza técnicas avanzadas de evasión para desplegar troyanos de acceso remoto (RATs) y malware robador de información en sistemas Windows.
Por qué importa: Esta campaña, llamada "The TFF Trap", combina métodos poco comunes como archivos de fuente TrueType (.ttf) disfrazando cargadores Lua y ejecución sin archivos para evitar las defensas tradicionales.
Lo esencial
La campaña usa archivos .ttf para ocultar cargadores Lua que ejecutan malware en memoria.
Se despliegan familias de malware como Agent Tesla, Remcos, XWorm y Best Private Logger.
Los atacantes se hacen pasar por empresas conocidas como FedEx para engañar a las víctimas.
La trampa del archivo de fuente disfrazado
Los atacantes emplean un archivo TrueType Font (.ttf) que en realidad contiene un cargador escrito en AutoIT/Lua. Este cargador se ejecuta como intérprete y descifra el siguiente código malicioso en memoria, evitando así la detección basada en archivos estáticos.
Este método permite que el malware se cargue y ejecute sin dejar rastros evidentes en el disco, dificultando la identificación por parte de los sistemas antivirus tradicionales.
Evasión múltiple para evitar detección
La campaña combina varias técnicas de evasión poco comunes en conjunto: abuso de entornos de scripting legítimos, ejecución en memoria y disfraz de contenido malicioso como archivos inocuos.
Imagen de referencia: Dark Reading.
Esta combinación reduce significativamente la eficacia de la detección basada en firmas y análisis estático, aumentando las probabilidades de éxito del ataque.
Impacto y objetivos del ataque
El objetivo principal es comprometer sistemas Windows para obtener control remoto o robar información sensible mediante diferentes tipos de malware desplegados.
Los atacantes inician el ataque con correos electrónicos de phishing que simulan ser comunicaciones legítimas de empresas de logística reconocidas, lo que facilita que las víctimas abran los archivos maliciosos.
Preguntas frecuentes sobre "The TFF Trap"
¿Qué malware se distribuye en esta campaña?
Se han identificado RATs y robadores como Agent Tesla, Remcos, XWorm y Best Private Logger.
¿Por qué es difícil detectar esta amenaza?
Porque utiliza ejecución sin archivos, cargadores disfrazados como archivos de fuente y carga en memoria, lo que evade la mayoría de las defensas tradicionales.
