Открит е метод за напълно невидими фишинг атаки

През януари изследователи от Juniper Threat Labs идентифицираха нова техника за замаскиране на JavaScript, която се използва активно при фишинг атаки. Нападателите използват невидими Unicode символи, за да скрият зловредния код, правейки го практически невидим както за анализаторите, така и за автоматизираните системи за защита.

Методът се основава на заместване на двоичните стойности на ASCII символите с невидими Hangul Unicode символи (U+FFA0 и U+3164). Това позволява инжектирането на зловреден код в легитимни скриптове, без да се привлича вниманието. Освен това скритият код се съхранява като свойство на JavaScript обект и се декриптира от JavaScript Proxy, който възстановява оригиналния код, когато бъде извикан.

Изследователите отбелязват, че атаките са силно персонализирани, като се използва лична информация за жертвите, използват се техники за борба с дебъгването, включително проверка на латентността на изпълнение на кода и автоматично излизане при откриване на дебъгер. За скриване на крайния фишинг URL адрес е използвано и рекурсивно обвиване на връзката чрез Postmark.

Този метод за замаскиране е открит за първи път от разработчика на JavaScript Мартин Клепе през октомври 2024 година. За по-малко от три месеца киберпрестъпниците започнаха да го използват широко, което подчертава скоростта, с която новите техники се адаптират към реалните атаки.

От Juniper Threat Labs свързват откритите атаки с фишинг инструментариума Tycoon 2FA, който преди това е бил използван за компрометиране на акаунти с двуфакторно удостоверяване. Това предполага голяма вероятност новият метод да се разпространи сред по-широк кръг от нападатели.

Техниката за замаскиране, използваща невидими Unicode символи, затруднява откриването на заплахите, тъй като повечето анализатори на код просто не разпознават такива символи като част от програмния код. Като се има предвид лесното прилагане на този метод и високата му ефективност при заобикаляне на механизмите за откриване, можем да очакваме по-нататъшното му разпространение сред киберпрестъпниците.