Исследователи корпорации Microsoft рассказали о масштабной фишинговой кампании, в рамках которой злоумышленники применяли тактику «контрабандной кодировки» (ASCII smuggling), вставляя невидимые символы Unicode в сообщения электронной почты. Речь идет о блоке Tags кодировки Unicode. Это специальный диапазон символов, который создавался для обозначения принадлежности текста к тому или иному языку. При этом сами символы блока Tags являются невидимыми.

Ранее тактика ASCII smuggling уже применялась хакерами для атак на системы искусственного интеллекта. С помощью невидимых символов киберпреступники кодировали вредоносные промпты. Теперь тот же метод нашел применение и в фишинговых атаках. Как сообщает Microsoft, на пике обнаруженной фишинговой кампании в конце февраля злоумышленники рассылали до 2,37 миллиона подобных сообщений в день. С мая интенсивность кампании существенно снизилась, однако она продолжается и по сей день.

В рамках этой кампании злоумышленники вставляют невидимый символ Unicode внутрь слов-приманок, связанных с финансами, тем самым разделяя их. Например, ключевое слово funding («финансирование») превращается во что-то вроде fun[невидимый символ]ding, что позволяет обходить защитные фильтры электронной почты, использующие списки слов для выявления подозрительных или вредоносных сообщений.

По данным Microsoft, этот метод применялся в миллионах фишинговых писем финансовой тематики и действительно позволял обходить соответствующие механизмы фильтрации. 9 февраля Microsoft выявила группу из 148 доменов-отправителей финансовой тематики, использовавшихся в этой кампании. На них приходилось около 96% всех сообщений подобного рода. В доменных именах использовались такие слова, как funding, capital, loan, advance и credit, а сами сообщения рекламировали финансирование бизнеса, кредиты и другие кредитные услуги.

Сообщения рассылались через инфраструктуру, связанную с легитимной платформой email-маркетинга ActiveCampaign. После того как Microsoft сообщила ActiveCampaign о злоупотреблении ее сервисом, компания заявила, что ее системы модерации выявляют невидимые символы Unicode так же, как и обычный незамаскированный текст, а их массовое использование рассматривается как подозрительная активность.

Microsoft рекомендует специалистам по безопасности удалять или нормализовывать Unicode-символы из блока Tags (приводить их к единому стандартному виду) и другие невидимые кодовые точки перед применением механизмов обнаружения на основе ключевых слов.