Fortinet mengungkap kampanye phishing baru yang menyalahgunakan file TrueType Font (.TTF) palsu sebagai kontainer untuk Lua-based loader. Teknik ini digunakan untuk mendistribusikan berbagai commodity malware, termasuk Remcos RAT, Agent Tesla, XWorm, serta varian Snake Keylogger.
Alih-alih menggunakan executable yang mudah dikenali, pelaku menyamarkan loader di balik file berekstensi .ttf yang tampak seperti file font biasa. Pendekatan ini memanfaatkan persepsi bahwa file font umumnya dianggap aman sehingga berpotensi melewati pemeriksaan keamanan berbasis ekstensi maupun signature.
Apa yang Terjadi?
Serangan diawali melalui email phishing yang mengirimkan arsip berisi JavaScript loader yang telah di-obfuscate secara intensif.
Fortinet mengamati bahwa loader tersebut menggunakan beberapa teknik obfuskasi tingkat lanjut, antara lain:
- Control Flow Flattening
- String Array Mapping
- Anti-Tampering
Kombinasi teknik tersebut bertujuan menghambat proses reverse engineering sekaligus mengurangi efektivitas deteksi berbasis signature.
Setelah dijalankan, script akan menyalin dirinya ke direktori:
%PUBLIC%\Libraries
Selanjutnya malware membangun persistensi dengan membuat Scheduled Task, sehingga tetap berjalan setiap kali sistem dinyalakan.
Tahap berikutnya menjadi bagian paling menarik dari kampanye ini. File berekstensi .ttf yang diunduh ternyata bukan merupakan file font, melainkan Lua loader yang telah di-obfuscate.
Loader tersebut kemudian dijalankan menggunakan LuaJIT, implementasi Just-In-Time Compiler untuk bahasa Lua. Fortinet juga mengonfirmasi bahwa malware memanfaatkan Foreign Function Interface (FFI) milik LuaJIT untuk berinteraksi secara langsung dengan native Windows API tanpa memerlukan library tambahan.
Detail Teknis
Loader Lua menerapkan proses dekripsi bertingkat (multi-stage decryption pipeline).
Awalnya, string payload yang tertanam di dalam loader dibalik (string reversal) dan mengalami substitusi simbol sebelum akhirnya diproses menggunakan Base64 decoding.
Setelah itu, malware menerapkan custom rotation cipher dengan kunci dinamis yang dihitung dari byte pertama payload menggunakan formula:
94 – first_byte
Pendekatan ini memastikan hasil dekripsi tetap berada dalam rentang karakter ASCII yang dapat dicetak (printable ASCII), sekaligus mempersulit analisis statis karena setiap payload dapat menggunakan kunci yang berbeda.
Untuk menghindari deteksi lebih lanjut, loader juga menerapkan berbagai teknik anti-analisis, antara lain:
- Mengalokasikan decoy memory region yang diisi data acak.
- Memodifikasi (patch) signature shellcode Donut yang telah dikenal.
- Melakukan siklus enkripsi memori berbasis XOR selama proses eksekusi.
Shellcode kemudian dijalankan melalui protected function call yang memanggil native C function pointer, sehingga alur eksekusi menjadi lebih sulit dilacak.
Peningkatan Kemampuan pada Varian Terbaru
Fortinet mencatat bahwa varian terbaru yang diamati pada Juni 2026 telah menambahkan sejumlah teknik anti-analisis yang lebih canggih, antara lain:
- API Unhooking
- Breakpoint Neutralization
- Vectored Exception Handler (VEH)
VEH dimanfaatkan untuk menangkap access violation exception, kemudian melakukan dekripsi terhadap segmen memori hanya ketika benar-benar dibutuhkan (on-demand decryption).
Dengan pendekatan ini, sebagian besar kode berbahaya tetap berada dalam kondisi terenkripsi selama proses analisis, sehingga baik analisis statis maupun analisis dinamis menjadi jauh lebih kompleks.
Payload akhir dikirim menggunakan Donut Shellcode Generator, yang memungkinkan malware melakukan reflective loading dan in-memory execution tanpa harus menulis payload ke media penyimpanan.
Fortinet juga mengamati kampanye paralel yang menggunakan AutoIt-based loader dengan teknik serupa, yaitu melakukan process injection ke proses colorcpl.exe dalam keadaan suspended melalui pemanggilan fungsi dari ntdll.dll.
Dampak terhadap Indonesia
Kampanye phishing dengan tema pembayaran (payment fraud) maupun Business Email Compromise (BEC) sangat relevan bagi organisasi di Indonesia, khususnya pada divisi:
- Finance
- Procurement
- Accounting
- Purchasing
Departemen tersebut secara rutin menerima invoice, bukti pembayaran, maupun dokumen pendukung dari pihak eksternal sehingga memiliki tingkat paparan yang tinggi terhadap email phishing.
Selain itu, regulasi perlindungan data pribadi di Indonesia mewajibkan organisasi memiliki kemampuan mendeteksi dan merespons insiden keamanan secara cepat. Teknik penyamaran executable sebagai file font seperti pada kampanye ini menunjukkan bahwa pendekatan keamanan berbasis ekstensi file atau signature saja sudah tidak lagi memadai.
Karena malware dijalankan sepenuhnya di memori melalui LuaJIT dan reflective loading, organisasi perlu memperkuat kemampuan Endpoint Detection and Response (EDR) serta behavioral analysis agar mampu mengenali pola eksekusi yang tidak lazim.
SOC juga disarankan mengembangkan YARA Rules, indikator perilaku (behavioral indicators), serta teknik memory hunting yang secara khusus menargetkan karakteristik loader berbasis LuaJIT.
Rekomendasi Mitigasi
- Perlakukan file .ttf yang diterima melalui email atau sumber tidak terpercaya sebagai objek yang perlu divalidasi sebelum dijalankan atau diproses lebih lanjut.
- Terapkan sandboxing terhadap seluruh arsip email, terutama yang mengandung script, executable, atau file dengan ekstensi yang tidak lazim.
- Gunakan solusi EDR yang mampu mendeteksi eksekusi LuaJIT, reflective loading, serta aktivitas shellcode di memori.
- Tingkatkan kesadaran pengguna, khususnya tim finance dan procurement, terhadap phishing bertema pembayaran maupun invoice.
- Monitor pembuatan Scheduled Tasks, perubahan pada direktori %PUBLIC%\Libraries, serta aktivitas LuaJIT sebagai indikator kompromi (Indicators of Compromise/IoC).
Analisis Retasan
Kampanye ini memperlihatkan evolusi teknik penghindaran deteksi (evasion) yang semakin matang. Pemanfaatan file .ttf sebagai kontainer untuk Lua loader menunjukkan bahwa pelaku tidak lagi bergantung pada executable konvensional, melainkan memanfaatkan tipe file yang umumnya dianggap tidak berbahaya oleh pengguna maupun sebagian solusi keamanan.
Yang paling menarik adalah penggunaan Vectored Exception Handler (VEH) sebagai mekanisme dekripsi memori secara on-demand. Teknik ini jauh melampaui obfuskasi statis karena sebagian kode berbahaya baru akan didekripsi ketika exception tertentu terjadi. Akibatnya, malware analyst tidak cukup hanya melakukan dumping memori atau analisis statis, tetapi juga harus memahami alur exception handling Windows untuk memperoleh payload secara utuh.
Penggunaan LuaJIT FFI bersama Donut Shellcode Generator juga menunjukkan bahwa teknik yang sebelumnya lebih sering ditemukan dalam operasi red teaming kini mulai diadopsi oleh pelaku kejahatan siber untuk meningkatkan stealth. Dengan menggabungkan reflective loading, fileless execution, serta interaksi langsung dengan Windows API, jejak artefak pada disk menjadi sangat minim sehingga mempersempit peluang deteksi berbasis file.
Bagi organisasi di Indonesia, kampanye ini menjadi pengingat bahwa pertahanan modern tidak lagi cukup mengandalkan antivirus berbasis signature. Kemampuan memory forensics, behavioral detection, serta threat hunting berbasis indikator perilaku akan menjadi faktor pembeda dalam menghadapi generasi malware yang semakin berfokus pada eksekusi di memori.
Sumber: Fortinet Threat Research, dirangkum oleh GBHackers.
