Ataques contornam filtros de email com texto oculto

A Barracuda Networks identificou mais de um milhão de emails de phishing que recorreram a técnicas de texto oculto (text salting) para contornar sistemas de filtragem de correio eletrónico, incluindo soluções que utilizam Inteligência Artificial (IA) para análise de conteúdo.

Segundo a empresa, as campanhas, observadas desde abril, utilizam temas relacionados com retalho e programas de recompensas para convencer as vítimas a carregar em ligações maliciosas. Embora as mensagens apresentem indicadores típicos de phishing, como ofertas urgentes, cartões de oferta ou pontos de fidelização, conseguem ultrapassar os mecanismos automáticos de deteção.

A técnica consiste em inserir palavras ou blocos de texto aparentemente inofensivos no código HTML das mensagens, tornando o conteúdo malicioso menos evidente para os sistemas de análise. Estes elementos permanecem invisíveis para o utilizador através de recursos como tamanho de letra zero, áreas ocultas da página ou posicionamento fora da área visível, mas continuam acessíveis aos motores de análise.

De acordo com Peterson Gutierrez, vice-presidente de Segurança da Informação da Barracuda Networks, trata-se de uma técnica conhecida há vários anos para contornar filtros de spam, mas que continua a revelar-se eficaz também perante mecanismos modernos baseados em IA.

Os investigadores explicam que os Secure Email Gateways (SEG) analisam tanto a autenticidade do remetente como o conteúdo das mensagens. Enquanto muitas destas campanhas recorrem a mecanismos legítimos de autenticação, como DomainKeys Identified Mail (DKIM), e utilizam domínios comprometidos ou semelhantes aos originais, a manipulação do conteúdo HTML dificulta a identificação de padrões normalmente associados ao phishing.

A Barracuda acrescenta que os atacantes combinam atualmente várias técnicas de ocultação na mesma mensagem para aumentar a probabilidade de contornar diferentes mecanismos de deteção. Ao mesmo tempo, a utilização de Large Language Models (LLM) permite gerar rapidamente texto adicional e alterar automaticamente o código HTML, reduzindo o esforço necessário para criar campanhas deste tipo.

Perante esta evolução, a empresa considera que a deteção de ameaças não pode depender apenas da identificação de palavras-chave suspeitas ou de regras estáticas. Em vez disso, recomenda que as soluções de Segurança avaliem o contexto completo da mensagem, incluindo a relação entre o conteúdo visível e o texto oculto, os links incluídos, o comportamento do remetente e a ação que o email procura induzir no destinatário.

Segundo a Barracuda Networks, a crescente utilização destas técnicas demonstra que, apesar da adoção de IA nas plataformas de Segurança, métodos relativamente simples continuam a ser eficazes quando exploram limitações dos mecanismos automáticos de análise.