Pas på! Phishing-e-mail-kampagne bruger små skrifttyper til at omgå beskyttelse
Sikkerhedsforskere med Avanan, en del af CheckPoint Security-familien, opdagede en nylig phishing-e-mail-kampagne rettet mod erhvervs-e-mails. Phishing-e-mails brugte en ny teknik til at omgå automatiske beskyttelsesfiltre.
Avanan registrerede kampagnens aktivitet tilbage i september 2021. Denne særlige indsats forsøgte at kompromittere Microsoft 365-brugerkonti og brugte flere metoder til at sløre de ondsindede komponenter i meddelelserne.
Kampagnen blev navngivet OnePoint af sikkerhedsteamet på grund af det faktum, at den skjuler tekststrenge i brødteksten af e-mails, ved at bruge en skrifttype, der er gengivet som en enkelt pixel pr. bogstav på skærmen, hvilket gør den praktisk talt usynlig.
En anden sløringstaktik, der blev brugt i phishing-e-mails, omfattede indlejring af ondsindede links inde i CSS-komponenten af e-mails. Formålet med at bruge denne form for indlejring og sløring er, at det lykkedes at forvirre naturlige sprogfiltre, såsom Microsofts egen NLP eller "natural language processing" teknologi.
Ondsindede links er også indlejret i phishing-kampagnens HTML-skrifttype-tags i e-mails. Dette tjener yderligere til at maskere det ondsindede indhold og forvirre de automatiserede filtre.
Virksomheden, der opdagede denne september 2021-kampagne, opdagede også en lignende for tre år siden, hvor dårlige skuespillere brugte skrifttyper i nulstørrelse, der aldrig dukker op på brugerens skærm, ikke engang som en enkelt række pixels.
Den krog, der bruges i OnePoint- phishing-kampagnen, er en falsk "din adgangskode er ved at udløbe"-meddelelse. Offeret bliver derefter lokket til at indtaste deres legitimationsoplysninger i falske login-formularer, som blot sender de indtastede login-datastrenge til de dårlige skuespilleres servere.
Som et ekstra forsvar mod lignende angreb, der bruger nye sløringsteknikker, anbefaler sikkerhedsforskere at bruge et sekundært, maskinlærende AI-lag af sikkerhed, der er tilføjet oven på alle naturlige sprogfiltre.