Los atacantes ocultan los señuelos de phishing utilizando caracteres Unicode invisibles

Ciertos actores maliciosos han comenzado a implementar una técnica conocida como contrabando de ASCII en campañas de suplantación de identidad (phishing), con el fin de burlar los filtros de seguridad en los correos electrónicos. Dicho método consiste en emplear caracteres Unicode que no son visibles para ocultar textos maliciosos o engañosos. Investigadores de seguridad detectaron una campaña masiva de este tipo centrada en temas financieros, la cual registró un volumen muy elevado de mensajes diarios a finales de febrero antes de experimentar un descenso gradual en mayo, aunque la actividad sigue en marcha.

La estrategia de los atacantes consiste en colocar un carácter Unicode invisible en medio de palabras gancho relacionadas con las finanzas, dividiéndolas. De este modo, palabras clave utilizadas habitualmente por los sistemas de defensa para detectar amenazas logran eludir los filtros basados en listas de palabras. Los mensajes fraudulentos empleaban términos vinculados al dinero, capital, préstamos o créditos, y fueron distribuidos mediante la infraestructura de una plataforma legítima de marketing por correo electrónico.

Como respuesta al reporte del uso indebido de su servicio, la plataforma afectada indicó que sus sistemas de moderación son capaces de identificar estos caracteres invisibles al igual que el texto normal, considerando su uso excesivo como una actividad sospechosa. Por su parte, los investigadores sugieren a los defensores normalizar o eliminar los caracteres Unicode ocultos antes de ejecutar análisis basados en palabras clave o expresiones regulares, además de tratar la presencia inesperada de estos elementos como una anomalía relevante. Adicionalmente, el documento menciona que, según un informe reciente, la capacidad de prevención disminuye considerablemente una vez que los atacantes logran obtener credenciales válidas.