Angreifer verwenden eine alte Technik zur Spam-Umgehung neu, um eine neue Generation KI-gestützter E-Mail-Sicherheitstools zu umgehen.
Die Forscher von Barracuda sagen, dass sie seit April mehr als eine Million Phishing-E-Mails mit Einzelhandelsthemen identifiziert haben, die Text-Salting nutzen – eine Methode, bei der große Mengen harmloser Inhalte in Nachrichten verborgen werden, um zu manipulieren, wie automatisierte Sicherheitssysteme diese klassifizieren.
„Angreifer verbergen harmlos wirkenden Text in Phishing-E-Mails, damit die Nachrichten für Sicherheitstools sicherer erscheinen“, sagte Pranati Sethy, Senior Threat Analyst bei Barracuda, in einer E-Mail an eSecurityPlanet.
Sie erklärte: „Das erinnert daran, dass E-Mail-Schutzmaßnahmen erkennen müssen, was verborgen ist, und sich auf die Nachricht konzentrieren sollten, die der Empfänger sieht.“
Pranati ergänzte: „Der vollständige Kontext einer E-Mail wird immer wichtiger, da Angreifer neue Wege finden, einer inhaltsbasierten Erkennung zu entgehen.“
Die wichtigsten Erkenntnisse aus Barracudas Untersuchung zu Text-Salting beim Phishing
- Barracuda hat mehr als eine Million Phishing-E-Mails identifiziert, die Text-Salting nutzen, um KI-gestützte und herkömmliche E-Mail-Sicherheitssysteme zu manipulieren.
- Beim Text-Salting werden große Mengen harmlosen Textes in Phishing-E-Mails verborgen, wodurch schädliche Nachrichten für automatisierte Erkennungs-Engines weniger verdächtig erscheinen.
- Angreifer kombinieren vertrauenswürdige Infrastruktur, authentifizierte Domains, verborgene HTML-Inhalte, CSS-Techniken zur Verschleierung und Zero Font, um die Zustellung von Phishing-E-Mails zu verbessern.
- Die für Empfänger sichtbare Phishing-Nachricht bleibt unverändert, während verborgene Inhalte die Interpretation der E-Mail durch manche Sicherheitstools verändern.
- Unternehmen sollten einen mehrschichtigen E-Mail-Schutz einsetzen, der gerenderte Inhalte analysiert und die Umgehung durch verborgene Inhalte erkennt, statt sich ausschließlich auf schlüsselwort- oder KI-basierte Erkennung zu verlassen.
So funktionieren Text-Salting-Angriffe
Im Gegensatz zu herkömmlichen Phishing-Kampagnen, die auf schlüsselwortbasierte Spamfilter abzielen, sind diese Angriffe darauf ausgelegt, die Interpretation von Inhalten durch KI-gestützte E-Mail-Sicherheitssysteme zu manipulieren.
Angreifer verbergen nicht einfach nur schädliche Wörter, sondern fügen harmlose Texte ein, um maschinelles Lernen und auf großen Sprachmodellen (LLMs) basierende Erkennungs-Engines dazu zu bringen, Phishing-E-Mails als legitim einzustufen.
Laut der Untersuchung von Barracuda beginnen die Kampagnen mit von Angreifern kontrollierter Infrastruktur, die auf kompromittierten legitimen Websites oder ähnlich aussehenden Domains gehostet wird, die mit DKIM konfiguriert sind.
Durch die Nutzung einer Infrastruktur, die Authentifizierungsprüfungen besteht, erhöhen Angreifer die Wahrscheinlichkeit, dass ihre E-Mails die erste Sicherheitsprüfung umgehen.
So wird die Phishing-E-Mail aufgebaut
Die Phishing-E-Mails selbst enthalten zwei klar voneinander getrennte Inhaltsebenen.
Empfänger sehen eine dringliche Nachricht mit Einzelhandelsthema, in der behauptet wird, dass Prämienpunkte, Treuevorteile oder Geschenkkarten bald ablaufen, und zu sofortigem Handeln aufgefordert werden.
Hinter dieser sichtbaren Nachricht verbergen sich jedoch große Blöcke zusammenhangloser Texte mit Geschichten, Projektnotizen, Unterhaltungen oder zufälligen Wörtern wie Welpe, Training, Buch, und Rhythmus.
Diese harmlosen Wörter verringern die Konzentration verdächtiger Begriffe wie Prämie, läuft ab, und Geschenkkarte, wodurch die gesamte E-Mail für manche automatisierten Erkennungs-Engines weniger schädlich erscheint, während sie aus Sicht des Empfängers unverändert bleibt.
So bleiben die verborgenen Inhalte in den E-Mails verborgen
Um verborgene Inhalte unsichtbar zu halten, kombinieren Angreifer mehrere HTML- und Cascading-Style-Sheets-(CSS)-Techniken zur Verschleierung, statt sich auf eine einzelne Methode zu verlassen.
Forscher beobachteten CSS-Techniken, die den sichtbaren Bereich beschneiden, die Zeilenhöhe verringern, Text aus dem Bildschirmbereich verschieben und Bildlaufleisten unterdrücken, damit verborgene Inhalte unsichtbar bleiben.
Die Forscher identifizierten außerdem eine als Zero Font bekannte Technik, bei der zufällige verborgene Wörter direkt in erkennbare Phishing-Formulierungen eingebettet und mit einer Schriftgröße von null versehen werden.
Der zugrunde liegende HTML-Code kann beispielsweise die Formulierung „Ihr Pass [hidden text]wort ist abgelaufen.“
enthalten. Da der eingefügte Text für den Nutzer unsichtbar ist, lesen Empfänger weiterhin „Ihr Passwort ist abgelaufen.“
Sicherheitstools, die im HTML-Quelltext nach der exakten Formulierung suchen, erkennen sie jedoch möglicherweise nicht, sodass die Phishing-E-Mail einige signatur- und musterbasierte Erkennungsverfahren umgehen kann.
Barracuda zufolge zeigen diese Kampagnen, warum moderne E-Mail-Sicherheit die Nachricht so analysieren sollte, wie Nutzer sie tatsächlich sehen – und nicht nur den zugrunde liegenden HTML- oder Quellcode.
Risiken durch Text-Salting reduzieren
Da sich Phishing-Techniken weiterentwickeln, sollten Unternehmen davon ausgehen, dass einige schädliche E-Mails letztlich herkömmliche Schutzmaßnahmen umgehen werden.
Der Schutz vor Text-Salting-Angriffen erfordert eine mehrschichtige Strategie, die fortschrittliche E-Mail-Sicherheit, starken Identitätsschutz und gut vorbereitete Nutzer kombiniert.
- Setzen Sie eine mehrschichtige E-Mail-Sicherheit ein, die gerenderte Inhalte, die HTML-Struktur, die Reputation des Absenders, Authentifizierungsergebnisse, eingebettete Links und Verhaltensauffälligkeiten analysiert, statt sich ausschließlich auf schlüsselwort- oder KI-basierte Erkennung zu verlassen.
- Erkennen Sie die Umgehung durch verborgene Inhalte , indem Sie Unterschiede zwischen der von Nutzern gesehenen E-Mail und dem zugrunde liegenden Quellcode identifizieren, darunter Text-Salting und andere HTML-Techniken zur Verschleierung.
- Aktivieren Sie einen URL-Schutz zum Zeitpunkt des Klicks oder eine Remote-Browser-Isolierung , um schädliche Websites zu blockieren, die anfänglichen E-Mail-Scans entgehen.
- Implementieren Sie phishing-resistente MFA, etwa Passkeys oder FIDO2-Sicherheitsschlüssel, um das Risiko zu verringern, dass kompromittierte Zugangsdaten zur Übernahme von Konten verwendet werden.
- Stärken Sie die E-Mail-Authentifizierung mit SPF, DKIM und DMARC und nutzen Sie dabei Bedrohungsdaten, um bekannte schädliche Domains und Phishing-Infrastruktur zu blockieren.
- Bieten Sie regelmäßig Phishing-Sensibilisierungsschulungen an und machen Sie es Mitarbeitern leicht, verdächtige E-Mails zu melden.
- Testen Sie Pläne zur Reaktion auf Sicherheitsvorfälle und nutzen Sie Angriffssimulations-tools mit Szenarien rund um Phishing und die Kompromittierung von E-Mail-Konten.
Diese Maßnahmen können Unternehmen helfen, ihre allgemeine Gefährdung zu verringern und ihre Widerstandsfähigkeit zu stärken.
Fazit
Generative KI erleichtert es Angreifern, in großem Maßstab stark variierende verborgene Texte zu erzeugen, wodurch der Einsatz KI-bewusster Umgehungstechniken wie Text-Salting zunimmt.
Daher sollten Sicherheitsteams regelmäßig prüfen, ob ihre E-Mail-Sicherheitsplattformen diese Techniken erkennen können, statt sich ausschließlich auf herkömmliche Inhaltsanalysen zu verlassen.
Viele Unternehmen bewerten umfassendere Sicherheitsstrategien wie Zero Trust neu, um die Auswirkungen erfolgreicher Phishing-Versuche zu verringern.