Microsoft Security, kimlik avı ve istenmeyen e-postalardaki sözcüklerin arasına görünmez Unicode karakterleri eklenerek içerik filtrelerinin yanıltılmaya çalışıldığını bildiriyor. “ASCII smuggling” olarak adlandırılan yaklaşımda, alıcının ekranda gördüğü sözcük değişmezken güvenlik sisteminin işlediği karakter dizisi farklılaşıyor. Microsoft’un incelemesi, bunun bütün e-posta savunmalarını aşan bir yöntem olmadığını; sonucun özellikle metin normalleştirme, sınıflandırma ve diğer koruma katmanlarının işleyişine bağlı olduğunu gösteriyor.
Görünen sözcük ile işlenen metin arasındaki fark
Görünmez karakterler tespiti nasıl etkileyebilir?
Microsoft’un açıklamasına göre yöntem, U+E0000–U+E007F aralığındaki Unicode etiket karakterlerinin e-posta konusu veya gövdesindeki sözcüklerin arasına yerleştirilmesine dayanıyor. Kaynağın verdiği örnekte, İngilizce “funding” sözcüğünün ortasına görünmez U+E0020 karakteri ekleniyor. Alıcı sözcüğü aynı biçimde okuyabilse de ham karakter dizisinde kesintisiz bir “funding” ifadesi bulunmuyor. Bu nedenle yalnızca birebir eşleşme arayan bir denetim veya araya giren görünmez karakterleri hesaba katmayan bir düzenli ifade, beklenen eşleşmeyi üretemeyebiliyor.
Microsoft, etkinin anahtar sözcük aramalarının ötesine geçebileceğini belirtiyor. Makine öğrenmesi ve doğal dil işleme tabanlı sınıflandırıcılar, metni önce token adı verilen birimlere veya alt sözcük parçalarına ayırabiliyor. Görünmez bir karakter eklenmesi, tanıdık bir sözcüğün beklenmeyen parçalara bölünmesine ya da nadir veya bilinmeyen birimlerle temsil edilmesine yol açabiliyor. Kaynağa göre bu değişim, sınıflandırıcının metni insanın gördüğü biçimiyle değerlendirmesini zorlaştırabiliyor.
Bununla birlikte Microsoft, normalleştirme adımının belirleyici olduğunu vurguluyor: Karakterler içerik analizi öncesinde kaldırılıyorsa sözcük yeniden olağan biçimiyle işlenebiliyor. Dolayısıyla görünmez karakterlerin bir iletide bulunması, o iletinin güvenlik ürünlerini başarıyla atlattığı anlamına gelmiyor. Araştırmanın savunma açısından ortaya koyduğu temel soru, bu karakterlerin tespit kuralları çalışmadan önce temizlenip temizlenmediği veya şüpheli olarak işaretlenip işaretlenmediği.
Meşru gönderim altyapısının kötüye kullanılması
Microsoft’un incelediği faaliyette, finans temalı sözcüklerden oluşturulan ve değiştirilen gönderici alan adları ile meşru bir e-posta pazarlama platformunun gönderim yapısı birlikte öne çıkıyor. Şirket, itibarlı bir pazarlama platformundan gelen iletilerin, platformun yerleşik IP itibarı ve kimlik doğrulama özellikleri nedeniyle meşru pazarlama trafiğine daha fazla benzeyebileceğini belirtiyor. Bu durum, araştırmaya göre yalnızca gönderim altyapısının itibarına dayanan değerlendirmeleri karmaşıklaştırabiliyor.
Microsoft, ölçtüğü faaliyet hacminin yaklaşık yüzde 92’sinin 173.236.20[.]0/24 ağ bloğundan geldiğini bildiriyor. Ancak aynı kaynak, bu bloğun kötüye kullanılan hizmete ait meşru ve paylaşımlı bir çıkış alanı olduğunu, ilgisiz meşru bültenlerin de buradan gönderildiğini özellikle vurguluyor. Bu nedenle ağ bloğu, araştırmayı daraltmak veya başka bulguları desteklemek için kullanılabilecek bir veri olarak ele alınıyor; tek başına engelleme gerekçesi olarak sunulmuyor.
Microsoft ve ActiveCampaign tespit sonuçlarını nasıl açıklıyor?
Microsoft, Defender filtreleme zincirinin ileti içeriğinin görüntüsünü alıp optik karakter tanıma (OCR) yoluyla görünür metni çıkarabildiğini ve bu metin üzerinde analiz yapabildiğini açıklıyor. Şirket ayrıca incelenen iletilerin yüzde 99’dan fazlasının, etiket karakterlerinin doğrudan yakalanmasına bağlı olmayan koruma katmanları tarafından işaretlendiğini bildiriyor. Kaynağın sıraladığı katmanlar arasında gönderici, IP, URL ve alan adı itibarı; makine öğrenmesi tabanlı spam ve kimlik avı sınıflandırması; marka taklidi tespiti ve kimlik doğrulama kontrolleri bulunuyor. Bu oran, Microsoft’un incelediği iletilere ilişkin bir sonuç olarak aktarılıyor.
Microsoft’un yayımladığı ActiveCampaign açıklamasına göre platform, araştırmada tarif edilen yöntemi kendi içerik moderasyon sistemlerinde test etti. ActiveCampaign, görünmez Unicode karakterleri içeren iletilerin gizlenmemiş eşdeğerleriyle aynı moderasyon kararlarını aldığını, tekniğin yoğun kullanımının ise ayrıca şüpheli sinyal sayıldığını belirtiyor. Bu açıklama ile Microsoft’un bulguları, görünmez karakter kullanımının otomatik olarak başarılı bir filtre atlatma sonucuna eşitlenmemesi gerektiğine işaret ediyor.
Savunma ekipleri için inceleme yaklaşımı
Microsoft’un sunduğu gelişmiş tehdit avcılığı yaklaşımı, görünmez karakterlerin kendisinden çok kampanyanın altyapı örüntüsünü araştırıyor. Kaynağa göre EmailEvents tablosunun sütunlarında e-posta gövdesi bulunmadığından, örnek sorgular finans sözcüklerinin birleşiminden oluşan gönderici alan adlarına ve pazarlama platformunun zarf gönderici biçimine odaklanıyor. URL incelemeleri için EmailUrlInfo ile ilişkilendirme öneriliyor. Microsoft, bu sorguların başlangıç noktası olduğunu ve kuruma özgü ayarlamalar gerektirebileceğini belirtiyor.
Microsoft’un bulgularından hareketle önerilen kontroller
- Microsoft’un önerdiği üzere, e-posta işleme zincirinin görünmez Unicode etiket karakterlerini nasıl ele aldığını test edin; normalleştirmenin içerik tespitinden önce gerçekleşip gerçekleşmediğini inceleyin.
- Microsoft’un açıkladığı çok katmanlı yaklaşım doğrultusunda, değerlendirmeyi yalnızca sözcük eşleşmesine bağlamayın; gönderici, bağlantı, alan adı, kimlik doğrulama ve sınıflandırma sinyallerini birlikte ele alın.
- Microsoft’un tehdit avcılığı örneklerinde olduğu gibi, finans temalı gönderici örüntülerini zarf gönderici ve URL bulgularıyla ilişkilendirin; sorguları ortamınıza uyarlayın.
- Microsoft’un uyarısı doğrultusunda, paylaşımlı IP bloklarını ve pazarlama platformuna ait izleme alan adlarını tek başına engelleme göstergesi olarak kullanmayın; bunları incelemeyi daraltan destekleyici bulgular olarak değerlendirin.
Kaynaklar ve doğrulama
- Microsoft Securityprimary