){kind=link}
Pesquisadores da FortiGuard Labs descobriram um novo tipo de malware que se disfarça de extensão “.ttf” para fontes do Windows. Batizada de TTF Trap, a ameaça foi considerada de alto risco e pode atingir qualquer corporação ao utilizar técnicas de phishing clássicas para enganar as vítimas.
A TTF Trap é um tipo de ameaça que foca no mundo das organizações. Tudo começa ao receber um simples email que se passa por uma empresa confiável. As mensagens trazem o clássico tom de urgência e abordam temas como faturas pendentes, documentos de remessas, pagamentos ou propostas de negociação.
smart_display
Nossos vídeos em destaque
No email, em anexo ou por meio de um link, a vítima é induzida a realizar o download de um arquivo compactado. O processo natural é que o usuário abra, descompacte e inicie o executável. A grande diferença desse golpe é que o elemento malicioso possui a extensão .ttf – ou seja, ele simula um arquivo de fontes do Windows.
O objetivo por trás do TTF Trap é espionar e controlar a máquina da vítima silenciosamente, sem que ela suspeite. Uma vez no sistema, esse tipo de malware pode registrar cada tecla digitada pela vítima, capturar credenciais bancárias, emails, roubar documentos e até assumir o controle total do sistema.
A fonte maliciosa
Embora pareça um arquivo de download comum, a ameaça do TTF Trap é literalmente uma grande armadilha para as empresas. Quando a vítima abre e extrai o arquivo compactado, esse mesmo programa começa a baixar ocultamente alguns softwares legítimos chamados de LuaJIT e AutoIt.
Como esses softwares são legítimos, o sistema nem suspeita que algo criminoso vai acontecer. Os programas eram baixados para ler o arquivo .ttf, que na verdade contém o código do vírus escondido em linguagem Lua ou AutoIt. Ao ler o malware, esse vírus é injetado diretamente na memória ou nos processos normais do Windows.
Os pesquisadores da FortiGuard rastrearam versões antigas desse ataque até outubro de 2025, mas essa campanha ganhou mais força a partir de 2026. Análises recentes indicam que o vírus divide seu próprio código em páginas bloqueadas no computador e depois engatilha ações para destrancar essas mesmas páginas.
Para um golpe assim funcionar corretamente, a operação utiliza uma técnica chamada de “fileless” – ou seja, sem arquivos. Isso significa que a inserção do vírus ocorre quase que inteiramente na RAM da máquina e isso simplesmente despista os antivírus tradicionais, que não conseguem realizar varreduras mais complexas.
A última etapa da operação consiste em entregar um conjunto de malwares robustos, identificados pelos pesquisadores como Remcos, Agent Tesla e o Best Private Logger. Esses são malwares especialistas em roubar dados e outras credenciais, que acabam completando o processo de infecção.
Como se proteger
Como esse é um golpe direcionado para empresas, o usuário final não precisa se preocupar tanto, mas o golpe pode atingir qualquer sistema Windows. No que tange às empresas, a principal recomendação é nunca realizar o download de anexos provenientes de emails duvidosos, principalmente de destinatários desconhecidos.
É fundamental configurar os sistemas de segurança para inspecionar dentro dos arquivos compactados e seguir os links, bloqueando scripts que tentam se disfarçar.
Por falar no mundo do cibercrime, um tribunal norte-americano indiciou um jovem de 19 anos, acusado de planejar um ataque cibernético contra uma joalheria de luxo. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.