Los atacantes ocultan los señuelos de phishing utilizando caracteres Unicode invisibles

Cier­tos ac­to­res ma­li­cio­sos han co­men­za­do a im­ple­men­tar una téc­ni­ca co­no­ci­da como con­tra­ban­do de ASCII en cam­pa­ñas de su­plan­ta­ción de iden­ti­dad (phishing), con el fin de bur­lar los fil­tros de se­gu­ri­dad en los co­rreos elec­tró­ni­cos. Dicho mé­to­do con­sis­te en em­plear ca­rac­te­res Uni­co­de que no son vi­si­bles para ocul­tar tex­tos ma­li­cio­sos o en­ga­ño­sos. In­ves­ti­ga­do­res de se­gu­ri­dad de­tec­ta­ron una cam­pa­ña ma­si­va de este tipo cen­tra­da en temas fi­nan­cie­ros, la cual re­gis­tró un vo­lu­men muy ele­va­do de men­sa­jes dia­rios a fi­na­les de fe­bre­ro antes de ex­pe­ri­men­tar un des­cen­so gra­dual en mayo, aun­que la ac­ti­vi­dad sigue en mar­cha.

La es­tra­te­gia de los ata­can­tes con­sis­te en co­lo­car un ca­rác­ter Uni­co­de in­vi­si­ble en medio de pa­la­bras gan­cho re­la­cio­na­das con las fi­nan­zas, di­vi­dién­do­las. De este modo, pa­la­bras clave uti­li­za­das ha­bi­tual­men­te por los sis­te­mas de de­fen­sa para de­tec­tar ame­na­zas lo­gran elu­dir los fil­tros ba­sa­dos en lis­tas de pa­la­bras. Los men­sa­jes frau­du­len­tos em­plea­ban tér­mi­nos vin­cu­la­dos al di­ne­ro, ca­pi­tal, prés­ta­mos o cré­di­tos, y fue­ron dis­tri­bui­dos me­dian­te la in­fra­es­truc­tu­ra de una pla­ta­for­ma le­gí­ti­ma de mar­ke­ting por co­rreo elec­tró­ni­co.

Como res­pues­ta al re­por­te del uso in­de­bi­do de su ser­vi­cio, la pla­ta­for­ma afec­ta­da in­di­có que sus sis­te­mas de mo­de­ra­ción son ca­pa­ces de iden­ti­fi­car estos ca­rac­te­res in­vi­si­bles al igual que el texto nor­mal, con­si­de­ran­do su uso ex­ce­si­vo como una ac­ti­vi­dad sos­pe­cho­sa. Por su parte, los in­ves­ti­ga­do­res su­gie­ren a los de­fen­so­res nor­ma­li­zar o eli­mi­nar los ca­rac­te­res Uni­co­de ocul­tos antes de eje­cu­tar aná­li­sis ba­sa­dos en pa­la­bras clave o ex­pre­sio­nes re­gu­la­res, ade­más de tra­tar la pre­sen­cia ines­pe­ra­da de estos ele­men­tos como una ano­ma­lía re­le­van­te. Adi­cio­nal­men­te, el do­cu­men­to men­cio­na que, según un in­for­me re­cien­te, la ca­pa­ci­dad de pre­ven­ción dis­mi­nu­ye con­si­de­ra­ble­men­te una vez que los ata­can­tes lo­gran ob­te­ner cre­den­cia­les vá­li­das.