Investigadores de segurança detetaram uma campanha massiva de phishing que utiliza caracteres Unicode invisíveis para contornar filtros de proteção de correio eletrónico. Segundo avançou a Microsoft, a operação atingiu um pico de 2,37 milhões de mensagens diárias no final de fevereiro, focando-se em esquemas relacionados com serviços financeiros.
A técnica, conhecida como "ASCII smuggling", começou por ser usada em ataques de injeção de comandos contra modelos de IA para ocultar instruções maliciosas dos utilizadores finais. Agora, os atacantes transferiram este método de evasão para o email. O esquema consiste em inserir caracteres Unicode invisíveis, pertencentes ao bloco Tags (U+E0000 a U+E007F), no meio de palavras usadas como isco. Desta forma, um termo suspeito é dividido com estes caracteres ocultos, o que permite à mensagem escapar aos sistemas de segurança que dependem de listas de palavras bloqueadas.
Plataformas legítimas usadas como base de ataque
A análise dos investigadores revelou que a fase de maior volume de envios decorreu durante cerca de três meses, com início a 9 de fevereiro, tendo registado uma queda acentuada após 15 de maio de 2026. Apesar da redução, a operação mantém-se ativa.
Apenas no dia 9 de fevereiro, foram identificados 148 domínios de envio ligados a esta rede, responsáveis por cerca de 96% de todas as mensagens sinalizadas através da nova lógica de pesquisa do Defender for Office 365. O conteúdo das mensagens promove serviços de crédito, empréstimos e financiamento empresarial.
A infraestrutura baseou-se no abuso da ActiveCampaign, uma plataforma legítima de marketing por correio eletrónico. Após receber o relatório da vulnerabilidade, a empresa confirmou que os seus sistemas de moderação já detetam caracteres invisíveis da mesma forma que processam texto normal, tratando o uso intensivo destas codificações como um comportamento suspeito.
Deteção e prevenção do ataque
Apesar da sofisticação desta ofuscação de texto, o sistema Defender da Microsoft conseguiu capturar mais de 99% destas mensagens fraudulentas. O bloqueio foi assegurado através da análise de outros sinais comprometedores habitualmente avaliados, como o remetente, o endereço IP e as verificações de reputação do domínio.
Para mitigar este tipo de ataque de forma mais abrangente, os investigadores recomendam que os defensores de rede normalizem ou removam os caracteres do bloco Tags antes de aplicarem qualquer regra de deteção baseada em palavras-chave ou assinaturas. A mesma abordagem preventiva de normalização deve ser aplicada antes de passar o conteúdo das mensagens para assistentes inteligentes, reduzindo assim o risco cruzado de injeções de comandos.
Nenhum comentário
Seja o primeiro!