Тестирование подозрительных шрифтов на вирусы: практическое руководство

Шрифты — это один из самых незаметных векторов атак. Никто не ждет вируса в файле с красивым названием Free_Gothic_v2.ttf, скачанном с дизайнерского форума. А зря. Именно через формат шрифтов (особенно TTF и OTF) злоумышленники годами успешно проникают в корпоративные сети и обходят антивирусы. Шрифт — это не просто картинка, это сложная программа, которая интерпретирует кривые Безье. И если в коде этой программы есть уязвимость, она становится эксплойтом.

Если вы получили файл шрифта из непроверенного источника, просто запустить его на рабочем ПК — это игра в русскую рулетку. Вам нужно знать, как безопасно проверить этот файл, не заразив систему. В этой статье я расскажу, как это сделать руками, используя доступные инструменты, и на что именно нужно смотреть при анализе.

Почему шрифты так опасны?

Многие думают, что шрифт — это статичный набор данных. На самом деле, файлы .ttf (TrueType) и .otf (OpenType) — это бинарные контейнеры, которые содержат не только контуры букв, но и скрипты, таблицы данных и инструкции для рендеринга. Операционная система загружает эти инструкции в память для отображения текста. Если в инструкции есть ошибка переполнения буфера (buffer overflow) или логическая ловушка, выполнение кода происходит автоматически при попытке предпросмотра или установки шрифта.

Главная проблема в том, что современные антивирусы часто сканируют только «подписи» известных угроз. Если эксплойт новый (zero-day), сигнатура еще не существует. Поэтому полагаться только на «зеленую галочку» антивируса при работе с кастомными шрифтами — ошибка. Вам нужен анализ поведения и структуры файла.

Шаг 1. Изоляция: Создаем безопасную среду

Прежде чем даже думать об анализе, нужно понять главное правило: никогда не тестируйте подозрительный файл на основной рабочей машине. Даже если у вас стоит мощный антивирус. Ошибки в анализаторах шрифтов могут быть критическими.

Вам нужна «песочница» (sandbox). Это может быть виртуальная машина (VirtualBox, VMware) с чистой, свежей установкой Windows или Linux. В идеале — с отключенным интернетом, чтобы вирус не мог «позвонить домой» (C2-сервер) до того, как вы его остановите. Если у вас есть доступ к облачной песочнице (например, Any.Run, Hybrid Analysis), это еще лучше, так как анализ происходит на удаленных мощностях.

Если вы работаете в Linux, используйте контейнеры (Docker), но помните: контейнеры разделяют ядро с хост-системой. Для анализа бинарных файлов лучше использовать полноценную виртуальную машину, чтобы изоляция была полной.

Шаг 2. Статический анализ: Смотрим на структуру файла

Прежде чем запускать файл, посмотрите на него со стороны. Статический анализ позволяет найти явные признаки мусора или вредоносного кода без запуска программы.

Проверка заголовков и структуры

Шрифты имеют строгую структуру. Если файл поврежден или модифицирован, это можно увидеть. Откройте файл в шестнадцатеричном редакторе (Hex Editor) — например, HxD (Windows) или xxd (Linux). В начале файла вы должны увидеть специфическую сигнатуру:

• TTAG: Для TTF это обычно 00 01 00 00 (TrueType) или OTTO (OpenType).
• Таблицы: Внутри файла должны быть таблицы с именами вроде glyf (контуры глифов), head, hhea, maxp.

Если вы видите в начале файла стандартные текстовые заголовки вроде MZ (это заголовок исполняемого EXE-файла) или странные последовательности байт, которые не соответствуют структуре шрифта, файл скорее всего является злонамеренным. Злоумышленники часто пытаются замаскировать EXE-файл под TTF, меняя расширение, но структура данных остается прежней.

Инструмент: FontForge

Один из лучших инструментов для проверки — FontForge. Это мощный редактор шрифтов с открытым исходным кодом. Попробуйте открыть файл в нем.

1. Запустите FontForge (в изолированной среде).
2. Попробуйте открыть файл через меню File > Open.
3. Если программа выдает ошибку «Invalid font file» или «Corrupt file» — это первый тревожный звонок. Злоумышленники часто намеренно портят структуру, чтобы обмануть простые парсеры, но надежные рендереры должны это видеть.
4. Если файл открывается, посмотрите на вкладку Element > Font Info. Проверьте поля Copyright и Vendor. Если там написано Unknown, Null или набор случайных символов, это признак плохого качества или намеренного сокрытия авторства.

Проверка вложений

Иногда внутри шрифта может быть спрятан другой файл (например, через атаку по принципу «неиспользуемых полей»). В FontForge проверьте наличие нестандартных таблиц или огромных пустых блоков данных. Инструмент otfinfo (часть пакета lcdf-typetools) покажет список всех таблиц шрифта. Если вы видите таблицы с названиями, которые не должны там быть, или таблицы с аномально большим размером (например, 50 МБ данных в простой таблице интервалов), это повод для глубокого анализа.

Шаг 3. Динамический анализ: Запускаем и наблюдаем

Статика хороша, но только динамика покажет, что файл пытается сделать. Динамический анализ — это запуск файла в контролируемой среде и наблюдение за его действиями.

Используем Process Monitor (ProcMon)

Если вы работаете в Windows (в виртуальной машине), инструмент Process Monitor от Sysinternals — ваш лучший друг.

1. Запустите ProcMon от имени администратора.
2. Настройте фильтр: Show Process Tree > Include и укажите процесс fontview.exe (просмотр шрифтов) или explorer.exe (если вы просто пытаетесь открыть файл в проводнике).
3. Откройте подозрительный шрифт.
4. Смотрите на лог.

На что обращать внимание:

• Сетевые подключения: Если процесс шрифтового просмотрщика пытается установить соединение с внешним IP-адресом — это 100% вирус. Шрифты не должны уходить в интернет.
• Запуск сторонних процессов: Если вы видите, что fontview.exe запускает cmd.exe, powershell.exe или wscript.exe — немедленно останавливайте это. Так выглядит попытка выполнения вредоносного скрипта.
• Запись в реестр: Шрифты могут пытаться прописаться в автозагрузку через реестр. Ищите ключи в HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run.
• Изменение файлов: Если файл шрифта пытается создать или изменить файл .exe или .bat в системных папках — это атака.

Используем Wireshark

Для анализа сетевой активности запустите Wireshark на виртуальной машине перед открытием файла. Если после открытия шрифта вы видите исходящие пакеты (Outbound), которые не связаны с обновлением системы или браузером, значит, шрифт пытается связаться с управляющим сервером.

Сравнительный анализ методов проверки

Понимание того, какой метод использовать, зависит от вашей задачи. Вот таблица, которая поможет выбрать инструмент:

Частые ошибки при тестировании

Даже опытные пользователи иногда совершают ошибки, которые сводят на нет все меры безопасности. Вот чего делать категорически нельзя:

• Открывать файл двойным кликом в проводнике. Это самый простой способ. Проводник Windows (explorer.exe) автоматически использует системный рендерер шрифтов. Если в шрифте есть уязвимость, она сработает мгновенно, даже без установки. Всегда открывайте файлы через виртуальные машины или изолированные среды.
• Полагаться только на антивирус. Если вы скачали новый эксплойт, который был создан вчера, антивирус может его не знать. Отсутствие «красной метки» не гарантирует безопасность.
• Игнорировать странное поведение. Если после открытия шрифта экран на секунду «мигнул», появился курсор, или звук системы изменился — это признаки выполнения кода. Не игнорируйте это.
• Тестировать на машине с важными данными. Даже в виртуальной машине, если вы используете общие папки с основной системой, вирус может выйти «на волю» через синхронизацию файлов. Отключайте общие папки.

Сценарии: Как действовать в зависимости от ситуации

Выбор метода анализа зависит от того, откуда пришел файл и насколько вы доверяете источнику.

Ситуация 1: Файл пришел от клиента или партнера

Вам прислали шрифт по почте, чтобы вы открыли макет. Клиент говорит, что это «нормальный шрифт».
Ваши действия:
1. Не открывайте файл на своем рабочем ПК.
2. Если есть возможность, попросите клиента отправить файл через защищенный канал (например, корпоративный облачный сервис с проверкой).
3. Если файл должен быть открыт срочно, загрузите его на сервис типа VirusTotal. Если он чист — загрузите на Hybrid Analysis.
4. Если оба сервиса молчат, откройте файл только в виртуальной машине без доступа к сети.

Ситуация 2: Вы скачали шрифт с сомнительного ресурса

Вам понравился шрифт на форуме, ссылка ведет на каталог «Free Fonts», который выглядит как сайт-однодневка.
Ваши действия:
1. Скачайте файл, но не запускайте его.
2. Проведите статику: проверьте расширение (убедитесь, что это не .ttf.exe).
3. Откройте файл в Hex-редакторе. Если в начале нет заголовков шрифта — удалите немедленно.
4. Если заголовок есть, загрузите его в облачную песочницу (Any.Run). Посмотрите отчет: нет ли попыток связи с внешними IP? Если есть — файл в корзину.

Ситуация 3: Вы администратор и получили алерт от системы

Система безопасности зафиксировала попытку выполнения кода из файла с расширением .otf.
Ваши действия:
1. Изолируйте компьютер, с которого пришел файл, от сети.
2. Извлеките файл с этого компьютера на флешку (избегайте выполнения).
3. Проведите глубокий анализ через Process Monitor в изолированной среде.
4. Проверьте, какие процессы были запущены. Если это был svchost.exe или cmd.exe — это критическая уязвимость.

Как лучше сделать: Рекомендации по безопасности

Чтобы минимизировать риски в будущем, внедрите эти практики в свою работу:

1. Используйте沙-песочницы. Если вы часто работаете с чужими файлами, настройте себе виртуальную машину (VM). В ней нет ваших личных данных, паролей и банковских приложений. Если шрифт взорвется, вы просто удалите VM и создадите новую.

2. Настройте групповые политики (GPO). В корпоративной среде администраторы могут ограничить установку шрифтов. Разрешите установку только из проверенных источников. Это предотвратит автоматическую установку вредоносных шрифтов через уязвимости.

3. Регулярно обновляйте ОС и приложения. Большинство эксплойтов в шрифтах эксплуатируют уязвимости в системных библиотеках (например, gdi32.dll или fontdrvhost.exe). Обновление Windows закрывает эти дыры. Не пренебрегайте патчами безопасности.

4. Используйте онлайн-сервисы для превью. Если вам нужно просто посмотреть, как выглядит шрифт, используйте онлайн-генераторы шрифтов. Загрузите файл в безопасный веб-инструмент (например, Google Fonts Test Page или аналогичные сервисы), который рендерит шрифт на сервере. Это безопасно для вашего устройства.

Итог

Тестирование шрифтов — это не магия, а последовательный процесс исключения рисков. Шрифты — это «слепое пятно» для многих систем безопасности, поэтому ответственность за проверку ложится на пользователя.

Ваш алгоритм действий:

1. Не запускайте подозрительный файл на основном ПК.
2. Проверьте структуру через Hex-редактор и VirusTotal.
3. Используйте изоляцию (виртуальная машина или песочница) для запуска.
4. Следите за поведением через Process Monitor (сеть и процессы).
5. Если сомневаетесь — удалите файл. Красивый шрифт не стоит компрометации всей системы.

Помните: лучший способ не заразиться — не открывать то, в чем вы не уверены на 100%. Безопасность начинается с привычки проверять, а не с надежды на то, что «в этот раз пронесет».