Pesquisadores da FortiGuard Labs descobriram um novo tipo de malware que se disfarça de extensão “.ttf” para fontes do Windows. Batizada de TTF Trap, a ameaça foi considerada de alto risco e pode atingir qualquer corporação ao utilizar técnicas de phishing clássicas para enganar as vítimas.A TTF Trap é um tipo de ameaça que foca no mundo das organizações. Tudo começa ao receber um simples email que se passa por uma empresa confiável. As mensagens trazem o clássico tom de urgência e abordam temas como faturas pendentes, documentos de remessas, pagamentos ou propostas de negociação.No email, em anexo ou por meio de um link, a vítima é induzida a realizar o download de um arquivo compactado. O processo natural é que o usuário abra, descompacte e inicie o executável. A grande diferença desse golpe é que o elemento malicioso possui a extensão .ttf – ou seja, ele simula um arquivo de fontes do Windows.O objetivo por trás do TTF Trap é espionar e controlar a máquina da vítima silenciosamente, sem que ela suspeite. Uma vez no sistema, esse tipo de malware pode registrar cada tecla digitada pela vítima, capturar credenciais bancárias, emails, roubar documentos e até assumir o controle total do sistema.Exemplo de email falso que se disfarça de pendência da FedEx (Imagem: FortiGuard Labs/reprodução)A fonte maliciosaEmbora pareça um arquivo de download comum, a ameaça do TTF Trap é literalmente uma grande armadilha para as empresas. Quando a vítima abre e extrai o arquivo compactado, esse mesmo programa começa a baixar ocultamente alguns softwares legítimos chamados de LuaJIT e AutoIt.Como esses softwares são legítimos, o sistema nem suspeita que algo criminoso vai acontecer. Os programas eram baixados para ler o arquivo .ttf, que na verdade contém o código do vírus escondido em linguagem Lua ou AutoIt. Ao ler o malware, esse vírus é injetado diretamente na memória ou nos processos normais do Windows.Os pesquisadores da FortiGuard rastrearam versões antigas desse ataque até outubro de 2025, mas essa campanha ganhou mais força a partir de 2026. Análises recentes indicam que o vírus divide seu próprio código em páginas bloqueadas no computador e depois engatilha ações para destrancar essas mesmas páginas.Script oculto do malware (Imagem: FortiGuard Labs/reprodução)Para um golpe assim funcionar corretamente, a operação utiliza uma técnica chamada de “fileless” – ou seja, sem arquivos. Isso significa que a inserção do vírus ocorre quase que inteiramente na RAM da máquina e isso simplesmente despista os antivírus tradicionais, que não conseguem realizar varreduras mais complexas.A última etapa da operação consiste em entregar um conjunto de malwares robustos, identificados pelos pesquisadores como Remcos, Agent Tesla e o Best Private Logger. Esses são malwares especialistas em roubar dados e outras credenciais, que acabam completando o processo de infecção.Como se protegerComo esse é um golpe direcionado para empresas, o usuário final não precisa se preocupar tanto, mas o golpe pode atingir qualquer sistema Windows. No que tange às empresas, a principal recomendação é nunca realizar o download de anexos provenientes de emails duvidosos, principalmente de destinatários desconhecidos.É fundamental configurar os sistemas de segurança para inspecionar dentro dos arquivos compactados e seguir os links, bloqueando scripts que tentam se disfarçar.Por falar no mundo do cibercrime, um tribunal norte-americano indiciou um jovem de 19 anos, acusado de planejar um ataque cibernético contra uma joalheria de luxo. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.