Fortinet жалған TTF файлдарымен фишингтік науқан туралы ескертеді
Материал бірнеше дереккөз негізінде жасанды интеллектпен дайындалды — түпнұсқаларға сілтемелер төменде.
FortiGuard Labs компаниясы жаһандық фишингтік науқанды анықтады, ол қатты обфускацияланған JavaScript және TrueType қаріп файлы ретінде жасырылған Lua жүктегішін қолданады. Науқан 2026 жылдың наурыз айының соңынан бастап Agent Tesla, Remcos, XWorm және Snake Keylogger нұсқасын таратады. Шабуылдаушылар белгілі компаниялардың атын жамылып, бизнес тақырыптарын пайдаланады.
Шабуыл әдісі
Фишингтік хаттарда обфускацияланған JScript бар сығылған мұрағаттар болады, ол тұрақтылықты қамтамасыз етеді және легитимді Autolt немесе LuaJIT интерпретаторын .ttf кеңейтімімен зиянды скриптпен бірге жүктейді. Жалған қаріп файлы Lua жүктегіші ретінде әрекет етеді, ол деобфускацияның бірнеше кезеңінен өтіп, жадта шелл-кодты шифрдан шығарады және орындайды. Соңғы жүктеме Donut шелл-коды арқылы жеткізіледі, бұл кодты дискіге жазбай орындауға мүмкіндік береді.
Зиянды бағдарламалар
Науқан Agent Tesla, Remcos, XWorm және Best Private LOGGER деп аталатын Snake Keylogger нұсқасын таратады. Жаңа нұсқалар сегменттелген шелл-код шифрлауын, Vectored Exception Handler негізіндегі дешифрлауды, AMSI және ETW айналып өтуді, API өшіруді және басқа анти-анализ әдістерін қолданады. Бұл әдістер соңғы нүктелерді қорғауды айналып өтуге бағытталған.
Сарапшылар пікірі
Keeper Security компаниясының CISO-сы Шейн Барни күрделі айналып өту әдістері әлі де адам қателігіне – фишингтік хаттарды ашуға тәуелді екенін атап өтті. Sectigo компаниясының аға ғылыми қызметкері Джейсон Сороко қорғаныс құралдары файл кеңейтімін оның түрінің дәлелі ретінде қарастыра алмайтынын айтты. Шабуылдаушылардың мақсаты – тіркелгі деректерін ұрлау және ұзақ мерзімді қол жеткізу. Fortinet мақсатты қорғаныс шараларын және қауіпсіздік гигиенасын сақтауды ұсынады.
Бұдан әрі
Науқанның қаншалықты кең таралғаны және жаңа айналып өту әдістерінің пайда болуы әлі белгісіз. Fortinet зерттеуін жалғастырып, қорғаныс ұсыныстарын жаңартуы мүмкін.
1 дереккөз
Fortinet жалған TTF файлдарымен фишингтік науқан туралы ескертеді
