Microsoft ha individuato una campagna di phishing su larga scala che utilizza una nuova tecnica di offuscamento del testo chiamata ASCII smuggling.
L’ASCII smuggling sfrutta i caratteri appartenenti al blocco Unicode Tags (U+E0000 - U+E007F) normalmente invisibili nelle interfacce grafiche (pur essendo presenti nel testo ed elaborabili dai software). In pratica, altera il modo in cui un contenuto di testo viene interpretato dai sistemi automatici, senza modificarne l'aspetto per l'utente.
Questa tecnica, inizialmente utilizzata per nascondere istruzioni ai modelli di intelligenza artificiale, oggi sfrutta gli stessi caratteri per confondere i sistemi antiphishing e antispam.
Come agiscono gli hacker
L’attaccante inserisce caratteri invisibili all’interno di parole chiave frequentemente utilizzate nelle campagne fraudolente, come ad esempio termini legati a prestiti, finanziamenti o offerte commerciali.
Una parola come funding, ad esempio, può essere suddivisa attraverso l'inserimento di un carattere Unicode invisibile. Al destinatario la parola continua ad apparire normale, mentre per un sistema che cerca quella specifica sequenza di caratteri, non è più presente nella stessa forma.
Questo meccanismo può influenzare anche i sistemi che analizzano il testo suddividendolo in singole parti (token), o utilizzando tecniche di elaborazione del linguaggio naturale (NLP).
Per aumentare la credibilità dei messaggi e rendere più difficile l’individuazione dei link malevoli, gli attaccanti hanno utilizzato domini temporanei legati a temi finanziari e, in alcuni casi, infrastrutture di servizi legittimi di e-mail marketing.
Consigli per difendersi
Per ridurre il rischio è necessario adottare sistemi di sicurezza in grado di:
- monitorare la presenza di caratteri Unicode anomali nei messaggi di posta elettronica normalizzare il testo prima delle analisi, eliminando o gestendo i caratteri invisibili
- verificare attentamente link, domini e mittenti
- utilizzare più livelli di protezione e non basarsi esclusivamente sul riconoscimento di parole chiave.
Le aziende dovrebbero quindi adottare sistemi di protezione della posta elettronica capaci di analizzare il contenuto effettivo dei messaggi e non soltanto quello che appare all'interno dell'interfaccia utilizzata dall'utente.
Questo caso dimostra chiaramente che:
- ciò che appare sicuro all'utente non è necessariamente ciò che viene elaborato dai sistemi informatici
- tecniche nate nell’ambito della sicurezza dell’intelligenza artificiale vengono rapidamente adattate dagli hacker
- la sicurezza informatica non dipende solo dagli strumenti tecnologici adottati: attenzione e verifica delle richieste sospette rappresentano difese fondamentali contro le frodi informatiche.
Fonte: Cybersecurity360