Напаѓачите ги прикриваат фишинг-замките со помош на невидливи Unicode знаци

Актерите на закани ја усвоија техниката наречена ASCII smuggling во фишинг-кампањи, користејќи невидливи Unicode знаци за да ги заобиколат безбедносните филтри за е-пошта.

ASCII smuggling се користи и во напади со инјектирање инструкции во AI системи (AI prompt injection), каде што злонамерните инструкции се прикриваат од корисниците со нивно кодирање преку Unicode знаци од Tags блокот (U+E0000–U+E007F).

Истражувачите за безбедност на Microsoft открија голема фишинг-кампања која ја користи оваа техника, а која достигнала врв од дури 2,37 милиони пораки дневно кон крајот на февруари. Иако обемот постепено се намалил во мај, операцијата сè уште е активна.

„Фазата со голем обем траеше приближно три месеци по 9 февруари и нагло се намали по 15 мај 2026 година“, објаснува Microsoft.

„Овие датуми ја ограничуваат забележаната употреба на конкретната техника во нашата телеметрија, а не пошироката кампања, која започнала порано без неа и продолжила и без неа.“

Во оваа кампања, напаѓачот вметнува невидлив Unicode знак во зборови поврзани со финансии, кои се користат како мамка, со цел да ги раздели.

На тој начин, клучен збор како „funding“ станува нешто како „fun[невидлив знак]ding“, со што ги заобиколува филтрите за е-пошта кои се потпираат на листи со зборови за откривање сомнителни или злонамерни пораки.

Microsoft наведува дека оваа техника била употребена во милиони фишинг-пораки поврзани со финансии и дека функционира според намената, иако Defender сепак успеал да открие повеќе од 99% од пораките врз основа на други индикатори, како што се испраќачот, IP-адресата, доменот и проверките на репутацијата.

На 9 февруари, Microsoft идентификувал кластер од 148 домени на испраќачи поврзани со финансии кои ја овозможувале оваа кампања. Тие биле одговорни за околу 96% од сите пораки што новата логика за лов на закани (hunting) во Defender for Office 365 ги означила поради присуство на Unicode-tag сигнатури.

Домените користеле зборови како „funding“ (финансирање), „capital“ (капитал), „loan“ (заем), „advance“ (аванс) и „credit“ (кредит), а пораките промовирале услуги за деловно финансирање, заеми и кредити.

Пораките биле испорачувани преку инфраструктура поврзана со легитимната платформа за е-mail маркетинг ActiveCampaign.

Откако ActiveCampaign го добил извештајот од Microsoft за злоупотреба на услугата, компанијата соопшти дека нејзините системи за модерирање ги откриваат невидливите Unicode знаци на ист начин како и текстот без обфускација и дека нивната масовна употреба ја третираат како сомнителна.

Microsoft им препорачува на тимовите за сајбер-безбедност да ги отстранат или нормализираат Unicode tag-знаците и другите невидливи кодни точки пред да применат детекција базирана на клучни зборови, регуларни изрази (regex) или сигнатури. Исто така, неочекуваните знаци од Tags-блокот треба да се третираат како силен индикатор за аномалија.

Примената на истата нормализација пред содржината на е-пораките да им се проследи на AI асистенти би требало да го намали ризикот од напади со инјектирање инструкции (prompt injection).

Извори:

• Bleeping Computer – Attackers conceal phishing lures using invisible Unicode characters Bleeping Computer