Gli hacker criminali stanno adottando un astuto stratagemma che sfrutta i caratteri speciali nelle e-mail per fuorviare le protezioni di Microsoft Outlook, mostrando così scansioni antivirus contraffatte.
Sebbene la tecnica di phishing ZeroFont fosse stata già utilizzata in passato, questa è la prima volta che viene documentato il suo impiego in questa particolare modalità.
In un recente rapporto del ricercatore di sicurezza Jan Kopriva presso ISC Sans, si avverte che questo nuovo inganno potrebbe avere un impatto notevole sulla riuscita degli attacchi di phishing, pertanto è importante che gli utenti siano consapevoli della sua presenza e delle modalità con cui viene utilizzato.
Nel dettaglio, un’email di phishing individuata da Jan Kopriva rivela che un malintenzionato sta sfruttando l’attacco ZeroFont per manipolare le anteprime dei messaggi su client di posta elettronica molto diffusi, come Microsoft Outlook.
L’email in questione presenta un messaggio diverso nell’elenco delle email di Outlook rispetto a quanto visualizzato nella vista di anteprima. Ad esempio, nell’elenco delle email, compare la seguente affermazione: “Verificato e protetto da Isc®Advanced Threat Protection (APT): 22/09/2023, ore 6:42 AM”. Tuttavia, nella vista di anteprima/lettura dell’email, il messaggio inizia con “Offerta di Lavoro | Opportunità di Impiego”.
Cosa implicano gli attacchi ZeroFont? Per esempio, si potrebbe inviare un’email a un destinatario cercando di farla sembrare come una notifica relativa al limite di quota di Office 365. Il messaggio potrebbe apparire come un tipico tentativo di phishing proveniente da un servizio amministrativo, ma in realtà, in questo caso, non è stato riconosciuto da Microsoft come un’email di phishing.
Questo avviene poiché l’hacker ha inserito testo casuale all’interno dell’email per suddividerlo in segmenti, evitando così che il sistema di elaborazione del linguaggio naturale di Microsoft lo identifichi come un messaggio di phishing.
In alcuni casi, vengono impiegate parole casuali. I caratteri speciali inseriti vengono incorporati nel codice HTML dell’email, rendendoli invisibili al destinatario. Qui di seguito è possibile visualizzare un frammento del codice HTML grezzo, che mostra i caratteri ZeroFont inseriti.
Quando il destinatario legge l’email, tutto il testo con “FONT-SIZE: 0px” scompare, lasciando visibile solamente il testo desiderato dall’aggressore.
Questo tipo di attacco è concepito per eludere i filtri di sicurezza, inserendo termini innocui ma invisibili che si mescolano con contenuti sospetti, confondendo l’interpretazione del contenuto da parte dell’intelligenza artificiale e degli strumenti di controllo di sicurezza.
È importante notare che la tecnica di attacco ZeroFont è stata documentata per la prima volta da Avanan nel 2018. Questa metodologia di phishing sfrutta le vulnerabilità nei sistemi di intelligenza artificiale e di elaborazione del linguaggio naturale (NLP) utilizzati nelle piattaforme di sicurezza delle email per analizzare il testo.
Nel loro rapporto del 2018, Avanan aveva messo in guardia contro il fatto che ZeroFont era riuscito a eludere le misure di protezione avanzata dalle minacce (ATP) di Office 365 di Microsoft, anche quando le email contenevano parole chiave dannose ben note.
