Czy niedrukowalne znaki unicode wystarczą do ominięcia filtrów antyspamowych? Analiza techniki ASCII Smuggling

TL;DR

Słowo "funding" da się rozbić niewidzialnymi znakami z bloku Unicode Tags (U+E0000–U+E007F) tak, że dla człowieka w mailu nadal wygląda normalnie, a dla filtra antyspamowego rozpada się na bezsensowny ciąg. Dokładnie to zrobili przestępcy w masowej kampanii phishingowej wymierzonej w sektor finansowy, wysyłając nawet 2,37 miliona wiadomości dziennie z infrastruktury ActiveCampaign, z fałszywymi ofertami kredytowymi w tle.

Badacze Microsoft Security, którzy rozłożyli kampanię na czynniki pierwsze, pokazują jednak, że sztuczka zadziałała odwrotnie do zamierzeń – rzadkie znaki z tego zakresu Unicode same w sobie są tak nietypowe, że stały się doskonałym sygnałem alarmowym dla systemów ochrony. Efekt: około 99% wiadomości zablokowano, zanim dotarły do skrzynek.