ASCII smuggling bị lạm dụng trong chiến dịch spam
"Microsoft reported a sharp rise in spam campaigns using ASCII smuggling, a technique that hides keywords inside invisible Unicode tag characters to evade email filters and ML/NLP-based spam classifiers. The abuse began in early February, peaked at millions of detections per day in Microsoft Defender for Office, and later declined; Microsoft published guidance for improving detection and normalization to mitigate the issue."
Tăng nguy cơ né lọc spam/phishing, làm suy giảm hiệu quả của ML/NLP classifiers và các cơ chế text matching truyền thống.
Có thể làm tăng khối lượng thư rác vào hộp thư người dùng, gây rủi ro lừa đảo và tăng chi phí vận hành cho đội an ninh email.
Microsoft ghi nhận sự gia tăng mạnh của các chiến dịch spam sử dụng ASCII smuggling để né bộ lọc email. Kỹ thuật này chèn các Unicode tag characters gần như vô hình vào giữa từ khóa, khiến nội dung vẫn hiển thị bình thường với người dùng nhưng có thể làm sai lệch quá trình lọc văn bản, regex và các mô hình ML/NLP dùng để phân loại thư rác.
Theo Microsoft, số lượng phát hiện trong Microsoft Defender for Office tăng từ khoảng 21.000/ngày lên hơn 1,3 triệu/ngày vào đầu tháng 2, sau đó đạt 2,5 triệu trong vòng bốn ngày. Mức độ lạm dụng kéo dài trong nhiều tháng trước khi giảm mạnh vào giữa tháng 5.
Mục tiêu của kẻ tấn công là che giấu các từ khóa thường xuất hiện trong thư rác, như dollar amounts, credit hoặc term, để tránh bị nhận diện. Microsoft lưu ý rằng các hệ thống chỉ dựa trên so khớp chuỗi có thể bỏ sót dạng tấn công này nếu không thực hiện normalization hoặc OCR trên nội dung hiển thị.
Khuyến nghị cho đội kỹ thuật là cập nhật bộ lọc để phát hiện Unicode tag characters, chuẩn hóa văn bản trước khi phân tích, và kiểm thử các quy tắc phát hiện với dữ liệu có chèn ký tự vô hình.