Auf den Punkt: Phishing-Mails mit verschleiertem JavaScript führen zu gefälschten TTF-Dateien, die als Loader für RATs und Infostealer dienen und mehrere Anti-Analyse-Techniken nutzen.
Angreifer missbrauchen getarnte TrueType-Font-Dateien, um schwer erkennbare Malware zu verteilen und auf Windows-Systemen Zugangsdaten zu stehlen sowie Persistenz aufzubauen. Eine Kampagne setzt seit mindestens März 2026 JavaScript-Obfuskation und Lua-basierte Loader ein.
Nach Erkenntnissen von Fortinets FortiGuard Labs setzt die Kampagne auf Business- und Payment-Themen in Phishing-E-Mails, die vermeintlich von etablierten Unternehmen stammen. Opfer werden verleitet, komprimierte Archive zu öffnen, die obfuskiertes JScript enthalten. Dieses richtet Persistenz ein und lädt dann ein legitimes AutoIt-Executable oder einen LuaJIT-Interpreter herunter, zusammen mit einem als .ttf-Datei gepackten bösartigen Skript.
Die gefälschte Font-Datei fungiert als Lua-Loader, der mehrere Deobfuskations-Schritte ausführt, bevor er Shellcode direkt im Arbeitsspeicher entschlüsselt und ausführt. Die beobachteten Malware-Familien – Agent Tesla, Remcos, XWorm und eine Snake-Keylogger-Variante namens Best Private LOGGER – werden mit fortgeschrittenen Evasion-Techniken ausgestattet: segmentierte Shellcode-Verschlüsselung, Vectored-Exception-Handler-basierte Runtime-Entschlüsselung, AMSI- und ETW-Umgehung sowie API-Unhooking. Der finale Payload wird über Donut-Shellcode ausgeliefert und direkt im Memory ausgeführt, ohne auf die Festplatte zu schreiben.
Fachleute betonen, dass der Erfolg trotz technischer Raffinesse beim klassischen Phishing-Ansatz beginnt: Ein Nutzer öffnet eine E-Mail von vermeintlich vertrauenswürdiger Quelle. Shane Barney, CISO bei Keeper Security, warnt davor, sich bei der Abwehr ausschließlich auf die technische Komplexität des Loaders zu konzentrieren. Stattdessen sollten Organisationen Identitäts- und Zugriffskontrollmechanismen verstärken – Least-Privilege-Prinzipien, Neuenthentifizierung bei sensiblen Systemen und Überwachung anomaler Sitzungsverhalten reduzieren erheblich, was Angreifer nach erfolgreichem Phishing erreichen können.
Jason Soroko, Senior Fellow bei Sectigo, ergänzt, dass Sicherheitskontrollen Dateierweiterungen nicht als Nachweis für Dateityp oder Absicht akzeptieren dürfen. Er empfiehlt, Windows Script Host und AutoIt zu beschränken sowie Signatur-basierte Erkennungssysteme zu nutzen, obwohl diese gegen solche Loader-Raffinesse oft versagen.
Quelle: www.csoonline.com · Erschienen 17. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.