Nach Angaben von Fortinet beginnt die Angriffskette mit einem E-Mail-Anhang in Form eines stark verschleierten JavaScript-Codes. Wird dieser ausgeführt, sorgt er für Persistenz auf dem System des Opfers und startet einen Loader der zweiten Stufe. Statt eines klassischen ausführbaren Programms liefern die Angreifer dann einen legitimen LuaJIT- oder AutoIt-Interpreter zusammen mit einer Datei mit der Endung .ttf aus, die tatsächlich verschlüsselten Lua-Bytecode enthält.
Fortinet-Forscher Yurren Wan schreibt, in diesen Kampagnen diene die abgelegte ausführbare Datei als Interpreter, während das eigentliche Loader-Skript als Datei mit der Endung .ttf getarnt werde. Dieser getarnte Loader entschlüssele, lade und starte die nächste Stufe, die schließlich die eigentliche Schadsoftware ausbringe. Der Kampagnenname „The TFF Trap“ leitet sich genau aus diesem Missbrauch einer TrueType-Schriftdatei ab.
Laut Fortinet entschlüsselt und startet der Interpreter den schädlichen Code direkt im Arbeitsspeicher. Dort führe er zusätzliche Prüfungen zur Erkennung von Analyseumgebungen durch, entferne Überwachungsmechanismen von Windows-APIs, die von Endpunktsicherheitswerkzeugen beobachtet werden könnten, und lade die finale Nutzlast reflektiv nach, ohne sie auf die Festplatte zu schreiben.
Die Forscher sehen darin eine gezielte Kombination von Umgehungstechniken, die einzeln bekannt seien, aber selten gemeinsam in großem Umfang eingesetzt würden. Die Verschleierung erschwere statische Analysen, während der Missbrauch vertrauenswürdiger Interpreter die schädlichen Aktivitäten mit legitimen Prozessen verschmelzen lasse. Später in der Kette verberge die gefälschte Schriftdatei die Nutzlast vor einer Prüfung anhand der Dateiendung, und die speicherresidente Ausführung minimiere forensische Spuren und senke die Wahrscheinlichkeit, dass Antivirenprogramme oder auch manche verhaltensbasierte Schutzwerkzeuge den Angriff erkennen, so Wan.
Als Einstieg nutzen die Angreifer Business-E-Mail-Compromise-Nachrichten. Laut Bericht tarnen sie diese als Anfragen zur geschäftlichen Zusammenarbeit und verwenden dabei den Namen eines Unternehmens, das dem Empfänger vertraut erscheint. Shane Barney, Informationssicherheitschef bei Keeper Security, sagt gegenüber Dark Reading, letztlich beginne auch diese Kampagne so wie jeder andere Phishing-Angriff: Jemand öffne eine E-Mail, die wie eine Nachricht eines vertrauenswürdigen Unternehmens aussehe, und handle danach. In diesem Fall würden die Angreifer FedEx und andere Versand- und Logistikunternehmen imitieren.
Barney betont, die Verschleierungsschichten, der als Schriftdatei getarnte Lua-Loader und die dateilose Ausführungskette dienten alle demselben Zweck: der Erkennung zu entgehen, nachdem die menschliche Entscheidung zum Öffnen und Ausführen bereits gefallen sei. Wenn ein erster Zugriff gelungen sei, könnten Identitäts- und Zugriffssteuerungen die Möglichkeiten der Angreifer begrenzen. Er nennt dabei die Begrenzung der Reichweite einzelner Zugangsdaten, das Prinzip minimaler Rechte, erneute Authentifizierung für sensible Systeme und die Überwachung auffälliger Sitzungen.
Fortinet hat zur Abwehr eine umfassende Sammlung von Indicators of Compromise veröffentlicht. Dazu gehören URLs, Jscripts, Lua-Skripte und Netzwerkadressen der Command-and-Control-Infrastruktur. Barney rät zudem dazu, Dringlichkeit in E-Mails besonders kritisch zu hinterfragen, vor allem wenn eine Nachricht wie eine routinemäßige Geschäftsanfrage eines bekannten Absenders wirke. Unerwartete Kontaktaufnahmen dieser Art sollten seiner Einschätzung nach bis zur Bestätigung über einen getrennten Kanal als unbestätigt gelten.