Saldırganlar Phishing Saldırılarında Görünmez Unicode Karakterlerini Kullanıyor

Yeni Phishing Evasion Tekniği: ASCII Smuggling

Siber güvenlik araştırmaları, tehdit aktörlerinin e-posta tabanlı phishing kampanyalarında sofistike bir yeni teknik kullandığını ortaya koymaktadır. Saldırganlar, "ASCII smuggling" olarak adlandırılan bu yöntemde, görünmez Unicode karakterlerini kullanarak kötü amaçlı linkleri ve içeriği gizlemektedir.

Teknik Çalışma Prensibi

Görünmez Unicode karakterleri, e-posta istemcileri tarafından görüntülenmese de karakterler arasında gömülü biçimde bulunmaktadır. Bu karakterler, e-posta güvenlik filtrelerinin içerik analiz ve URL kontrolü mekanizmalarını aldatmak için stratejik olarak yerleştirilmektedir. Filtreleme sistemleri, gözlemlenebilir metni analiz ederken gizli karakterleri ve bunların değiştirici etkisini atlamaktadır.

Güvenlik Filtrelerine Etki

Kurumsal e-posta güvenlik çözümleri, genellikle başlık (header) analizi, bedeninde (body) bulunan URL ve dosya taraması ile işlemektedir. Ancak Unicode karakterlerinin dinamik doğası ve çok sayıda varyasyonu, statik imza tabanlı algılamaları zorlamaktadır. Bu durum özellikle şu alanlarda zorluk oluşturmaktadır:

• Phishing URL’lerinin domain karşılaştırması
• Spam ve kötü amaçlı içerik sınıflandırması
• Makine öğrenme modellerinin güvenilirliği
• Entegre tehdit istihbaratı (Threat Intelligence) beslemeleri

Kurumsal Altyapıya Etkileri

Bu teknik, BT ekiplerinin ve güvenlik operasyon merkezlerinin (SOC) yapılandırdığı savunmaların etkinliğini azaltmaktadır. Özellikle aşağıdaki alanlarda ilave konsern oluşmaktadır:

• Sıfır gün (Zero-day) riskler: Henüz tanımlanmamış varyasyonlar
• Sosyal mühendislik başarısı: Filtreleri geçen mesajlar daha yüksek tıklama oranına neden olabilir
• İç tehditler: İmzalı/şifrelenmiş e-postaların Unicode analizi
• Log ve forensik çalışmaları: Gizli karakterlerin tespiti ve analizi zorlukları

Önerilen Savunma Stratejileri

Kuruluşlar, bu tehdide karşı çok katmanlı bir yaklaşım benimsemelidir:

• Gelişmiş e-posta filtreleme: Unicode normalleştirme (normalization) ve anomali tespit algoritmaları
• Kullanıcı eğitimi: Şüpheli mesajlar ve bilinmeyen kişilerden gelen linklere karşı farkındalık
• Endpoint koruma: İşletim sistemi ve tarayıcı düzeyinde tehdit algılama
• İçerik güvenliği: URL yeniden yazma, sandbox detonasyon ve davranış analizi
• DMARC/SPF/DKIM: E-posta kimlik doğrulama protokollerinin sıkılaştırılması

Sonuç

ASCII smuggling tekniği, saldırganların e-posta güvenlik ortamının artan karmaşıklığına uyum sağladığını göstermektedir. BT ve güvenlik liderlerinin bu tehdidi etkin bir şekilde hafifletmek için teknik bilgiye dayalı bir strateji geliştirmesi gerekmektedir.

Kaynak: BleepingComputer