TFF Trap 釣魚攻擊活動結合多層規避技術，部署多種 RAT 與資料竊取程式

Fortinet 研究人員自今年 3 月下旬起觀察到一起名為「The TFF Trap」的大規模釣魚攻擊活動。攻擊者結合無檔案技術與低偵測率的 Lua 載入器，並部署多個惡意軟體家族，包括 Agent Tesla、Remcos、XWorm 與 Best Private Logger。此活動被命名為 TFF Trap，是因攻擊者以 TrueType 字型（.ttf）檔案偽裝惡意載入器的容器。

攻擊鏈與規避手法

攻擊以商業電子郵件詐騙（BEC）為切入點，冒充 FedEx 等物流公司寄送看似正常業務往來的郵件，誘使受害者執行附件。

附件為高度混淆的 JavaScript 檔案。執行後，惡意程式會在受害者系統上建立持久化機制，並啟動第二階段載入器。此階段不會投放傳統執行檔，而是部署合法的 LuaJIT 或 AutoIt 解譯器，並搭配一個偽裝為 .ttf 副檔名的檔案（實際內容為加密的 Lua 位元組碼）。解譯器隨後在記憶體中解密並執行惡意程式碼；期間會進行反分析檢查、解除端點資安工具可能監控的 Windows API 勾子（unhooking），並以反射載入（reflective loading）方式直接在記憶體中載入最終酬載，全程不寫入磁碟。

Fortinet 研究員 Yurren Wan 指出，此攻擊在每個階段都內建規避機制：透過混淆手法干擾靜態分析、濫用合法解譯器讓惡意活動融入正常程序、以字型檔偽裝繞過副檔名檢查，並以記憶體常駐執行將鑑識痕跡降至最低，進一步降低防毒軟體或行為偵測工具的發現機率。

人為判斷仍是防禦關鍵

Keeper Security 資安長 Shane Barney 指出，無論攻擊技術多麼複雜，一切仍始於「有人開啟了看似可信公司發來的郵件並採取行動」。換言之，所有混淆層次、偽裝成字型的 Lua 載入器與無檔案執行鏈，都是在人為決策做出後，為了通過偵測而存在；因此，組織應將此納入持續關注的視野。

防護建議

Barney 表示，限制憑證的可存取範圍、強制執行最小權限原則、對敏感系統要求重新驗證，以及監控異常工作階段行為，雖無法阻止所有釣魚郵件，但可顯著限制攻擊者在初始存取成功後能達成的目標。

同時也建議培養員工對郵件「緊迫性」訊號的警覺，尤其是以熟悉品牌名義發送的例行業務請求；任何非預期的聯繫，都應透過獨立管道確認後再行處理。

Fortinet 在報告中公開了完整的入侵指標（IoC），包含網址、JavaScript、Lua 腳本及命令與控制（C2）網路位址，供防禦方追蹤使用。

本文轉載自 DarkReading。