Les attaquants réutilisent une ancienne technique de contournement des filtres anti-spam pour déjouer une nouvelle génération d’outils de sécurité des e-mails basés sur l’IA.
Les chercheurs de Barracuda affirment avoir identifié depuis avril plus d’un million d’e-mails d’hameçonnage à thème commercial utilisant le salage de texte — une méthode qui dissimule de grandes quantités de contenu anodin dans les messages afin de manipuler la façon dont les systèmes de sécurité automatisés les classent.
« Les attaquants dissimulent du texte d’apparence inoffensive dans les e-mails d’hameçonnage pour que les messages paraissent plus sûrs aux outils de sécurité », a déclaré par e-mail à eSecurityPlanet Pranati Sethy, analyste senior des menaces chez Barracuda.
Elle a expliqué : « Cela rappelle que les défenses de la messagerie doivent identifier ce qui est dissimulé et se concentrer sur le message que voit le destinataire. »
Pranati a ajouté : « Prendre en compte le contexte complet d’un e-mail devient de plus en plus important à mesure que les attaquants trouvent de nouvelles façons de contourner la détection fondée sur le contenu. »
Principaux enseignements de la recherche de Barracuda sur le salage de texte
- Barracuda a identifié plus d’un million d’e-mails d’hameçonnage utilisant le salage de texte pour manipuler les systèmes de sécurité des e-mails basés sur l’IA et les systèmes traditionnels.
- Le salage de texte dissimule de grandes quantités de texte anodin dans les e-mails d’hameçonnage, faisant paraître les messages malveillants moins suspects aux moteurs de détection automatisés.
- Les attaquants combinent des infrastructures de confiance, des domaines authentifiés, du contenu HTML dissimulé, des techniques de camouflage CSS et le Zero Font pour améliorer la diffusion des e-mails d’hameçonnage.
- Le message d’hameçonnage visible reste inchangé pour les destinataires, tandis que le contenu dissimulé modifie la façon dont certains outils de sécurité interprètent l’e-mail.
- Les entreprises devraient déployer une sécurité des e-mails multicouche qui analyse le contenu rendu et détecte les techniques de contournement fondées sur du contenu dissimulé, plutôt que de s’appuyer uniquement sur la détection par mots-clés ou basée sur l’IA.
Fonctionnement des attaques par salage de texte
Contrairement aux campagnes d’hameçonnage traditionnelles qui ciblent les filtres anti-spam fondés sur les mots-clés, ces attaques sont conçues pour manipuler la façon dont les systèmes de sécurité des e-mails basés sur l’IA interprètent le contenu.
Au lieu de simplement dissimuler des mots malveillants, les attaquants injectent du texte anodin pour inciter les moteurs de détection reposant sur l’apprentissage automatique et les grands modèles de langage (LLM) à classer les e-mails d’hameçonnage comme légitimes.
Selon les recherches de Barracuda, les campagnes commencent par une infrastructure contrôlée par les attaquants, hébergée sur des sites légitimes compromis ou des domaines ressemblants configurés avec DKIM.
En utilisant une infrastructure qui passe les contrôles d’authentification, les attaquants augmentent les chances que leurs e-mails échappent au filtrage de sécurité initial.
Construction de l’e-mail d’hameçonnage
Les e-mails d’hameçonnage eux-mêmes contiennent deux couches de contenu distinctes.
Les destinataires voient un message urgent à thème commercial affirmant que des points de récompense, des avantages de fidélité ou des cartes-cadeaux vont expirer et les incitant à agir immédiatement.
Derrière ce message visible se trouvent toutefois de grands blocs de texte sans rapport, contenant des récits, des notes de projet, des conversations ou des mots aléatoires comme chiot, entraînement, livre et rythme.
Ces mots anodins diluent la concentration de termes suspects comme récompense, expire et carte-cadeau, faisant paraître l’e-mail dans son ensemble moins malveillant à certains moteurs de détection automatisés, tout en le laissant inchangé du point de vue du destinataire.
Comment le contenu dissimulé le reste dans les e-mails
Pour rendre le contenu dissimulé invisible, les attaquants combinent plusieurs techniques de camouflage HTML et de feuilles de style en cascade (CSS), au lieu de s’appuyer sur une seule méthode.
Les chercheurs ont observé des techniques CSS qui rognent la zone d’affichage, réduisent la hauteur des lignes, déplacent le texte hors écran et masquent les barres de défilement afin de maintenir le contenu dissimulé invisible.
Les chercheurs ont également identifié une technique connue sous le nom de Zero Font, qui intègre des mots aléatoires dissimulés directement dans des phrases d’hameçonnage reconnaissables, en attribuant au texte inséré une taille de police nulle.
Par exemple, le code HTML sous-jacent peut contenir la phrase « Your pass [hidden text] word expired. »
Comme le texte inséré est invisible pour l’utilisateur, les destinataires lisent toujours « Your password expired. »
Cependant, les outils de sécurité qui recherchent la phrase exacte dans le code source HTML peuvent ne pas la détecter, permettant à l’e-mail d’hameçonnage d’échapper à certaines méthodes de détection basées sur les signatures et la correspondance de motifs.
Barracuda affirme que ces campagnes montrent pourquoi les solutions modernes de sécurité des e-mails devraient analyser le message tel que les utilisateurs le voient réellement — et pas seulement le code HTML ou le code source sous-jacent.
Réduire les risques liés au salage de texte
À mesure que les techniques d’hameçonnage continuent d’évoluer, les entreprises devraient partir du principe que certains e-mails malveillants finiront par contourner les défenses traditionnelles.
Se défendre contre les attaques par salage de texte nécessite une stratégie multicouche combinant une sécurité avancée des e-mails, de solides protections de l’identité et des utilisateurs bien préparés.
- Déployez une sécurité des e-mails qui analyse le contenu rendu, la structure HTML, la réputation de l’expéditeur, les résultats d’authentification, les liens intégrés et les anomalies comportementales, plutôt que de s’appuyer uniquement sur la détection par mots-clés ou basée sur l’IA.
- Détectez les techniques de contournement par contenu dissimulé en identifiant les différences entre l’e-mail que voient les utilisateurs et le code source sous-jacent, notamment les techniques de salage de texte et autres techniques de camouflage HTML.
- Activez la protection des URL au moment du clic ou l’isolation du navigateur à distance afin de contribuer à bloquer les sites web malveillants qui échappent aux analyses initiales des e-mails.
- Mettez en œuvre une authentification multifacteur résistante à l’hameçonnage, comme les clés d’accès ou les clés de sécurité FIDO2, afin de réduire le risque que des identifiants compromis soient utilisés pour prendre le contrôle de comptes.
- Renforcez l’authentification des e-mails avec SPF, DKIM et DMARC tout en utilisant les informations sur les menaces pour bloquer les domaines malveillants et les infrastructures d’hameçonnage connus.
- Dispensez régulièrement une formation de sensibilisation à l’hameçonnage et facilitez le signalement des e-mails suspects par les employés.
- Testez les plans de réponse aux incidents et utilisez des outils de simulation d’attaques avec des scénarios liés à l’hameçonnage et à la compromission des e-mails.
Ces mesures peuvent aider les entreprises à réduire leur exposition globale et à renforcer leur résilience.
En résumé
L’IA générative permet aux attaquants de produire plus facilement et à grande échelle des textes dissimulés très variés, ce qui accroît le recours à des techniques de contournement adaptées à l’IA telles que le salage de texte.
Par conséquent, les équipes de sécurité devraient régulièrement évaluer la capacité de leurs plateformes de sécurité des e-mails à détecter ces techniques, plutôt que de s’appuyer uniquement sur l’analyse traditionnelle du contenu.
telles que Zero Trust afin de réduire l’impact des tentatives d’hameçonnage réussies.