Nuove ricerche di Barracuda Networks, azienda specializzata nella cyber resilience che offre una piattaforma progettata per semplificare la sicurezza delle organizzazioni di ogni dimensione, evidenziano come gli hacker stiano combinando intelligenza artificiale, automazione e servizi cloud per realizzare tentativi di phishing sempre più sofisticati, in grado di colpire sia i sistemi di sicurezza sia gli utenti finali.
Due tendenze recenti dimostrano questa evoluzione: il ritorno delle tecniche di text salting, progettate per confondere le soluzioni di sicurezza e-mail basate sull’AI, e la trasformazione dei kit di phishing in piattaforme capaci di generare truffe personalizzate in tempo reale.
L’utilizzo del testo nascosto per ingannare i sistemi
I ricercatori di Barracuda hanno identificato oltre un milione di attacchi di phishing a tema retail che utilizzano una tecnica nota come text salting. Originariamente sviluppato per aggirare i tradizionali filtri antispam, questo metodo consiste nell’inserire grandi quantità di testo innocuo e non pertinente all’interno di un’e-mail, nascondendolo al destinatario ma lasciandolo visibile agli strumenti di sicurezza per l’analisi.
L’obiettivo è indurre i sistemi di sicurezza a classificare le e-mail di phishing come legittime, riducendo la concentrazione di termini sospetti e alterando gli indicatori comunemente associati a questi tentativi di frode. Gli attaccanti inseriscono contenuti nascosti come testi casuali, conversazioni generiche o appunti progettuali contenenti numerose parole dal significato positivo o neutro, mentre il messaggio visibile continua a fare leva su esche tipiche del phishing, come premi in scadenza, punti fedeltà o offerte di gift card.
I ricercatori hanno osservato diversi metodi utilizzati per occultare questi contenuti, tra cui la riduzione dell’area visibile del testo, il posizionamento del contenuto al di fuori del campo visivo del destinatario e l’inserimento del testo direttamente all’interno di parole o frasi con una dimensione del carattere impostata a zero. Gli attaccanti possono inoltre frammentare il contenuto HTML utilizzando termini non standard per impedire ai filtri basati su firme di riconoscere le espressioni tipiche del phishing.
Ad esempio, un messaggio contenente un avviso relativo alla scadenza della password può includere testo invisibile all’interno della frase, impedendo agli strumenti di sicurezza di riconoscere la formulazione prevista e di attivare i meccanismi di rilevamento.
Inoltre, nel corso dell’ultimo anno, i ricercatori di Barracuda hanno registrato un aumento dell’utilizzo delle tecniche di text salting non solo per eludere le tradizionali analisi basate sulle parole chiave, ma anche i modelli di machine learning e gli strumenti di sicurezza basati su LLM. Poiché i sistemi di AI analizzano l’intero contenuto dell’e-mail, compreso il testo nascosto, grandi quantità di contenuti innocui e non correlati possono influenzare il modo in cui il modello interpreta l’intento, il tono e il livello di rischio del messaggio.
L’intelligenza artificiale generativa ha ulteriormente accelerato questa tendenza, consentendo agli attaccanti di creare automaticamente grandi volumi di testi realistici, diversificati e unici, rendendo le campagne di phishing più facili da scalare e più difficili da individuare e monitorare.
Logokit trasforma i kit di phishing in piattaforme capaci di personalizzare gli attacchi in tempo reale
Parallelamente, anche le piattaforme di phishing-as-a-service stanno diventando sempre più evolute. I ricercatori di Barracuda hanno rilevato che il kit Logokit si è evoluto da un tradizionale strumento per il furto di credenziali a una piattaforma capace di generare, in tempo reale, pagine di accesso fraudolente personalizzate per ogni singolo bersaglio.
Invece di reindirizzare tutte le vittime alla stessa falsa pagina di accesso, Logokit utilizza servizi web commerciali legittimi per ricreare l’esperienza di login dell’organizzazione presa di mira. L’attacco ha inizio quando la vittima clicca su un link malevolo che contiene il suo indirizzo e-mail nell’URL.
Il codice incorporato nella pagina estrae l’indirizzo e-mail e utilizza il nome di dominio dell’organizzazione per identificare l’azienda bersaglio. Il toolkit recupera quindi loghi e icone aziendali attraverso servizi commerciali e acquisisce uno screenshot in tempo reale del sito web legittimo, creando una falsa pagina di accesso che riproduce fedelmente l’ambiente di autenticazione dell’organizzazione.
Quando la vittima inserisce le proprie credenziali, le informazioni vengono inviate direttamente agli attaccanti tramite servizi come Telegram e altre piattaforme cloud, riducendo la necessità di utilizzare infrastrutture tradizionalmente controllate dagli aggressori. Successivamente, la vittima viene reindirizzata al sito web legittimo, rendendo la compromissione più difficile da individuare.
Nonostante i progressi tecnologici, è bene sottolineare come queste campagne continuino a fare leva su tecniche di social engineering consolidate, tra cui notifiche di scadenza della password, avvisi di rinnovo dei certificati, notifiche di mancata consegna e promemoria relativi alla compilazione dei timesheet.
