Νέα επίθεση Phishing με χαρακτήρες κρυμμένους στη γραμμή θέματος

Οι κυβερνοεγκληματίες έχουν αναπτύξει μια εξελιγμένη τεχνική phishing που εκμεταλλεύεται αόρατους χαρακτήρες ενσωματωμένους στις γραμμές θέματος των email για να παρακάμπτουν αυτόματα φίλτρα ασφαλείας.

Δείτε επίσης: Νέα καμπάνια phishing στοχεύει χρήστες του LastPass

Αυτή η μέθοδος επίθεσης αξιοποιεί την κωδικοποίηση MIME σε συνδυασμό με τα Unicode soft hyphens για να αποκρύψει κακόβουλες προθέσεις, ενώ παράλληλα φαίνεται νόμιμη στους ανθρώπινους αναγνώστες. Η τεχνική αυτή αντιπροσωπεύει μια εξέλιξη στις τακτικές social engineering, στοχεύοντας μηχανισμούς φιλτραρίσματος email που βασίζονται στην ανίχνευση λέξεων-κλειδιών και την αντιστοίχιση προτύπων.

Η επίθεση εμφανίστηκε όταν ερευνητές ασφαλείας ανακάλυψαν μηνύματα phishing με γραμμές θέματος που εμφάνιζαν ασυνήθιστη συμπεριφορά στους πελάτες email. Όταν εμφανίζονταν στη λίστα μηνυμάτων, το θέμα φαινόταν παραμορφωμένο ή ελλιπές, αλλά κατά το άνοιγμα του email, το κείμενο εμφανιζόταν ως κανονικό, αναγνώσιμο περιεχόμενο. Αυτή η διαφορά υποδείκνυε την παρουσία αόρατων χαρακτήρων στρατηγικά τοποθετημένων σε όλη τη γραμμή θέματος για να διασπάσουν αναγνωρίσιμες λέξεις-κλειδιά και πρότυπα.

Η καμπάνια στοχεύει κυρίως την κλοπή διαπιστευτηρίων μέσω ψεύτικων σελίδων σύνδεσης webmail. Τα θύματα λαμβάνουν email με θέματα όπως «Ο Κωδικός σας Πρόκειται να Λήξει», όπου οι αόρατοι χαρακτήρες διασπούν αυτές τις λέξεις-κλειδιά που συνήθως θα ειδοποιούσαν τα συστήματα ασφαλείας. Τα μηνύματα phishing κατευθύνουν τους παραλήπτες σε παραβιασμένους τομείς που φιλοξενούν γενικές πύλες συλλογής διαπιστευτηρίων σχεδιασμένες να καταγράφουν πληροφορίες σύνδεσης.

Δείτε ακόμα: Εξέλιξη των phishing επιθέσεων για παράκαμψη άμυνας

Οι αναλυτές του Internet Storm Center εντόπισαν αυτή την τεχνική κατά την ανασκόπηση κακόβουλων μηνυμάτων που παραδόθηκαν στα εισερχόμενα των χειριστών τους. Η ανακάλυψη ανέδειξε μια σχετικά ασυνήθιστη εφαρμογή της απόκρυψης με αόρατους χαρακτήρες, ιδιαίτερα μέσα στις γραμμές θέματος των email και όχι μόνο στα σώματα των μηνυμάτων.

Οι επιτιθέμενοι εφαρμόζουν αυτή την τεχνική μέσω της μορφοποίησης κωδικοποιημένων λέξεων MIME όπως καθορίζεται στο RFC 2047. Η δομή της γραμμής θέματος ακολουθεί το πρότυπο encoded-word = “=?” charset “?” encoding “?” encoded-text, όπου το περιεχόμενο είναι δεδομένα σε χαρακτήρες UTF-8 κωδικοποιημένα σε μορφή Base64.

Η ανάλυση των καταγεγραμμένων δειγμάτων αποκάλυψε κεφαλίδες θέματος μορφοποιημένες ως:

Subject: =?UTF-8?B?WcKtb3XCrXIgUMKtYXPCrXN3wq1vwq1yZCBpwq=?UTF-8?B?dMKtbyBFwq14wq1wwq1pcsKtZQ==?=

Όταν αποκωδικοποιούνται, οι συμβολοσειρές περιέχουν χαρακτήρες soft hyphen (Unicode U+00AD, HTML entity ­) που εισάγονται μεταξύ των μεμονωμένων γραμμάτων. Αυτοί οι χαρακτήρες παραμένουν αόρατοι στους περισσότερους πελάτες email, συμπεριλαμβανομένου του Outlook, διασπώντας αποτελεσματικά λέξεις-κλειδιά όπως «password» σε «p-a-s-s-w-o-r-d» σε επίπεδο κώδικα, ενώ εμφανίζονται κανονικά στους χρήστες.

Δείτε επίσης: Phishing καμπάνια καταχράται το όνομα της LastPass – Η εταιρεία αρνείται παραβίαση

Η τεχνική επεκτείνεται πέρα από τις γραμμές θέματος στα σώματα των μηνυμάτων, όπου οι soft hyphens διασπούν ολόκληρες λέξεις για να ξεγελάσουν τις μηχανές ανίχνευσης περιεχομένου. Οι καταγεγραμμένες διευθύνσεις URL phishing οδηγούσαν σε παραβιασμένους νόμιμους τομείς που φιλοξενούσαν σελίδες κλοπής διαπιστευτηρίων μορφοποιημένες ως γενικές διεπαφές σύνδεσης webmail.