حملة تصيد تستخدم رموز يونيكود غير مرئية لتجاوز الفلاتر

حملة تصيد ترسل ملايين الرسائل الإلكترونية باستخدام رموز يونيكود غير مرئية لتجاوز الفلاتر

أعلنت شركة مايكروسوفت عن وجود “حملة تصيد عالية الحجم” تستخدم رموز يونيكود غير مرئية لتجاوز فلاتر البريد الإلكتروني.

قال فريق أبحاث الأمن في مايكروسوفت: “بدلاً من استخدام هذه الرموز لإخفاء التعليمات عن الأشخاص بينما يتم الكشف عنها لنماذج الذكاء الاصطناعي، استخدم المهاجمون هذه الرموز لتقسيم كلمات جذب مالية مثل ‘تمويل’ لمنع فلاتر البريد الإلكتروني من تحليلها.”

أشارت الشركة إلى أن النتائج تظهر أن تقنيات التهرب في عصر الذكاء الاصطناعي يمكن تكييفها من قبل المهاجمين في حملات التصيد التقليدية والبريد العشوائي. ويقال إن الهجمات التي تستغل هذا النهج ظهرت لأول مرة في أوائل فبراير 2026.

تشير تقنية “تخفي ASCII” إلى استخدام رموز يونيكود غير مرئية أو غير قابلة للرؤية لإخفاء الرسائل أو التعليمات داخل نص يبدو غير ضار. ونتيجة لذلك، لا تقوم واجهات المستخدم البشرية بعرضها، مما يجعل النص يبدو طبيعياً تماماً للمستخدم.

ومع ذلك، يمكن أن يتم تحليل مثل هذا المحتوى بواسطة فلاتر البريد الإلكتروني أو نماذج اللغة الذكية، مما يعاملها عن طريق الخطأ كنص حقيقي. وهذا، بدوره، يمكن أن يفتح الباب لحقن الأوامر من خلال الاستفادة من حقيقة أن نماذج اللغة الكبيرة (LLMs) لا يمكنها رسم حدود موثوقة بين التعليمات الحقيقية التي يتم إدخالها مباشرة في الطلب والمحتوى المضمن في نص يبدو غير ضار أو مصادر خارجية أخرى مثل صفحات الويب أو الوثائق أو رسائل البريد الإلكتروني.

قالت مايكروسوفت: “أكثر نطاق تم استغلاله هو كتلة رموز يونيكود، U+E0000 إلى U+E007F.” وأضافت: “تحتوي هذه الكتلة على نسخة ظل من رموز ASCII القابلة للطباعة (على سبيل المثال، U+E0041 تعكس ‘A’، وU+E0061 تعكس ‘a’). كانت هذه الكتلة مخصصة في الأصل لوسم اللغة وأصبحت الآن مهجورة إلى حد كبير.”

وفقًا لشركة مايكروسوفت، دخلت حملة التصيد المعتمدة على تخفي ASCII في مرحلة عالية الحجم لمدة تقارب ثلاثة أشهر قبل أن تنخفض بشكل حاد بعد 15 مايو 2026. ويقال إن النشاط كان يتبع وتيرة أسبوعية، حيث كانت الحملة تقريبًا صامتة في عطلات نهاية الأسبوع وتستأنف بكامل قوتها يوم الاثنين.

تُقدّر أحجام أيام الأسبوع بين 1 إلى 2.37 مليون رسالة، حيث بلغت ذروتها في 26 فبراير 2026. وتُقيَّم الحملة على أنها مرتبطة بحملة تصيد أوسع استغلت منصة التسويق والتشغيل التلقائي ActiveCampaign لتوزيع آلاف رسائل البريد الإلكتروني التصيدية التي تم إنشاؤها بواسطة الذكاء الاصطناعي والتي تستهدف مقدمي طلبات قروض إدارة الأعمال الصغيرة (SBA).

تم الكشف عن تفاصيل حملة التصيد من قبل فريق Fortra Intelligence and Research Experts (FIRE) في سبتمبر 2025، حيث ذكرت أن العملية تركز على جمع معلومات تجارية ومالية مفصلة، من المحتمل أن تمكّن من تصيد مستهدف للغاية في الهجمات المستقبلية.

أشارت Fortra في ذلك الوقت إلى أن “تعقيد الحملة وفرادتها يكمنان في القدرة على إنتاج مواقع مقنعة ومخصصة بكميات كبيرة تتكيف مع مجالات غير شرعية أو مقلدة مختلفة.” وأضافت: “يمكن للمهاجمين توسيع نطاق التصيد المتطور باستخدام ميزات التشغيل التلقائي المدعومة بالذكاء الاصطناعي من ActiveCampaign لتغيير التصميم والمحتوى والتدفق، مما يؤدي في النهاية إلى إنشاء حملات تصيد أكثر إقناعًا بشكل أسرع.”

تستفيد أحدث مجموعة من رسائل البريد الإلكتروني التصيدية، وفقًا لمايكروسوفت، من استخدام رموز العلامات غير المرئية كنمط إخفاء، حيث يتم إدراجها داخل كلمات مالية شائعة لتفكيكها وتجاوز فلاتر البريد الإلكتروني التي تبحث عن تطابقات كلمات رئيسية أو توقيع حرفي.

على سبيل المثال، تصبح كلمة جذب مالية مثل “تمويل” “تم⟨U+E0020⟩ويل”، بحيث تبدو طبيعية للمستلم بينما تؤدي إلى تجاوز ضوابط أمان البريد الإلكتروني.

أوضحت مايكروسوفت: “بالنسبة للمستلم، ولخطوط التحليل التي تسقط أو تعيد ضبط هذه الرموز، لا تزال الكلمة تقرأ على أنها تمويل.” وأضافت: “بالنسبة لكاشف يطابق السلسلة الحرفية تمويل، أو تعبير عادي لا يأخذ في الاعتبار نقاط الكود غير المرئية المتداخلة، لم يعد تسلسل البايت يحتوي على الكلمة الرئيسية المتجاورة.”

بينما استخدام الرموز غير المرئية أو المتشابهة ليس تقنية جديدة في التصيد وهجمات التشابه، فإن ما هو جديد هو اختيار الرموز المستخدمة – وهي كتلة رموز يونيكود – وحجم الحملة نفسها، التي أنتجت ملايين الرسائل يوميًا.

تم العثور على أن الحملة تستفيد من مئات المجالات المرسلة ذات الطابع المالي القابلة للتخلص منها باستخدام جذبات تشبه أنماط التصيد المتعلقة بالقروض التجارية، وخطوط الائتمان، وأنماط التمويل المتقدمة التي ترتبط عادةً بالاحتيال أو سرقة بيانات الاعتماد. وفيما يلي قائمة بأعلى 10 مجالات مرسلة من حيث عدد الزيارات:

• guardiangrowthfunding[.]com
• digitalcapitalboost[.]com
• thebusinessloanexpress[.]com
• yourlocfunding[.]com
• advancefundingboost[.]com
• guardiancapitalway[.]com
• harboradvancefunding[.]com
• unitedfundingwave[.]com
• directcapitalboost[.]com
• onlinedirectfinance[.]com

علاوة على ذلك، يتم تمرير هذه الرسائل الإلكترونية من هذه المجالات ذات الطابع المالي عبر ActiveCampaign، مما يتسبب في توجيه كل رابط خارجي في نص الرسالة عبر مجالات تتبع النقر الخاصة بها (“acemlnd[.]com” و”activehosted[.]com”).

من جانبها، قالت ActiveCampaign إنها اختبرت أنظمة تعديل المحتوى الخاصة بها مع رسائل تحتوي على رموز يونيكود غير مرئية، وأن مثل هذه الرسائل تتلقى حكم التعديل كنسخ غير مشوشة. كما قالت إن الاستخدام المكثف لهذه التقنية يُعتبر “إشارة مشبوهة.”

قالت مايكروسوفت: “كما هو الحال مع أي خدمة إرسال مشتركة، فإن إساءة استخدام المهاجمين لحسابات العملاء أو سير العمل يمكن أن تعقد تصفية السمعة.” وأضافت: “من خلال الانطلاق من منصة تسويق موثوقة ذات سمعة IP راسخة ومصادقة، قد يبدو النشاط أكثر تشابهًا مع حركة التسويق الشرعية ويمكن أن يعقد تصفية السمعة.”