Microsoft зафиксировала масштабную фишинговую кампанию, в которой злоумышленники вставляют невидимые символы из блока Unicode Tags (U+E0000–U+E007F) внутрь финансовых терминов в теле писем, чтобы обойти детектирование по ключевым словам и регулярным выражениям. Кампания генерировала до 2,37 миллиона сообщений в день на пике активности, используя инфраструктуру легитимной маркетинговой платформы ActiveCampaign для рассылки. Техника, ранее известная в контексте атак на LLM-модели через скрытые инструкции, впервые применена в таком масштабе для обхода традиционных почтовых фильтров. Организациям, использующим фильтрацию на основе сигнатур и ключевых слов, необходимо внедрить нормализацию Unicode перед этапом анализа содержимого.
Механизм обфускации: как работает вставка невидимых символов
Блок Unicode Tags (U+E0000–U+E007F) содержит «теневые копии» печатных ASCII-символов: например, U+E0041 соответствует «A», U+E0061 — «a». Эти символы изначально предназначались для языковой разметки и сейчас считаются устаревшими. Ключевое свойство — они не отображаются в пользовательских интерфейсах.
Злоумышленники вставляют символ U+E0020 (невидимый пробел из блока Tags) внутрь высокосигнальных финансовых слов. Например, слово «funding» превращается в «fun⟨U+E0020⟩ding». Для получателя письма слово выглядит абсолютно нормально, однако для детектора, ищущего непрерывную строку «funding» или применяющего регулярное выражение без учёта вставленных невидимых кодовых точек, байтовая последовательность больше не содержит искомого ключевого слова.
Как отмечает Microsoft Security Research, принципиальное отличие от классических гомоглифных атак — выбор именно блока Tags и беспрецедентный масштаб: не единичные целевые письма, а миллионы сообщений ежедневно. При этом невидимые символы используются именно как разделители внутри слов, а не для кодирования скрытых сообщений или инструкций для ИИ-моделей.
Microsoft классифицировала наблюдаемое поведение по матрице MITRE ATT&CK T1566 (Phishing) и T1027 (Obfuscated Files or Information).
Хронология и масштаб кампании
Активная фаза с использованием символов Unicode Tags началась резко: 8 февраля 2026 года телеметрия Microsoft фиксировала около 21 000 сообщений, а уже 9 февраля — более 1,3 миллиона. Высокообъёмная фаза продолжалась примерно три месяца и резко пошла на спад после 15 мая 2026 года, хотя остаточная активность наблюдалась как минимум до середины июня.
Кампания следовала чёткому недельному ритму: практически полная тишина в выходные и возобновление рассылок в полном объёме по понедельникам. Ежедневные объёмы в будние дни составляли от 1 до 2,37 миллиона сообщений. Microsoft указывает 26 февраля 2026 года как дату пикового объёма, хотя в графиках того же отчёта зафиксирован всплеск свыше 2,3 миллиона сообщений 11 февраля — эти данные могут отражать разные метрики измерения.
На момент начала активной фазы 9 февраля Microsoft идентифицировала 148 финансово-тематических доменов отправителей. В общей сложности кампания использовала сотни одноразовых доменов, собранных из ограниченного словаря финансовых терминов.
Инфраструктура и индикаторы компрометации
Письма рассылались через инфраструктуру ActiveCampaign, что приводило к маршрутизации всех исходящих ссылок через домены отслеживания кликов платформы: acemlnd[.]com и activehosted[.]com. Примерно 92% измеренного трафика исходило из сетевого блока 173.236.20[.]0/24, связанного с этой маркетинговой платформой. Microsoft подчёркивает, что данный блок является легитимной общей инфраструктурой и может использоваться только для корреляции, а не как самостоятельный индикатор вредоносности.
Использование репутационной маркетинговой платформы с установленной IP-репутацией и настроенной аутентификацией (SPF, DKIM) позволяло фишинговому трафику выглядеть как легитимная маркетинговая рассылка, что существенно усложняло репутационную фильтрацию.
Топ-10 доменов отправителей по количеству срабатываний:
- guardiangrowthfunding[.]com
- digitalcapitalboost[.]com
- thebusinessloanexpress[.]com
- yourlocfunding[.]com
- advancefundingboost[.]com
- guardiancapitalway[.]com
- harboradvancefunding[.]com
- unitedfundingwave[.]com
- directcapitalboost[.]com
- onlinedirectfinance[.]com
Приманки имитировали предложения бизнес-кредитов, кредитных линий и авансового финансирования — паттерны, типично ассоциируемые с мошенничеством или сбором учётных данных. По данным Microsoft, кампания связана с более широкой фишинговой операцией, ранее задокументированной командой Fortra FIRE в сентябре 2025 года, которая была нацелена на сбор детальной финансовой и бизнес-информации у заявителей на кредиты Администрации малого бизнеса США (SBA). Следует отметить, что эта связь основана на корреляции инфраструктуры и контента со стороны Microsoft; конкретная группировка не идентифицирована.
Оценка воздействия
Наибольшему риску подвержены организации, полагающиеся на фильтрацию электронной почты на основе точного совпадения ключевых слов или регулярных выражений без предварительной нормализации Unicode. Малый и средний бизнес в финансовом секторе, а также компании, работающие с кредитными продуктами, являются приоритетными целями данной кампании.
Microsoft сообщает, что более 99% сообщений были заблокированы многоуровневой защитой — репутационной фильтрацией отправителей, IP и доменов, классификацией на основе машинного обучения, детектированием имитации бренда и проверкой аутентификации. Однако сам факт необходимости многоуровневой защиты для перехвата подчёркивает, что ни один отдельный уровень фильтрации не был достаточен.
ActiveCampaign заявила, что её системы модерации контента обрабатывают сообщения с невидимыми символами Unicode так же, как их необфусцированные аналоги, а интенсивное использование техники расценивается как «подозрительный сигнал». Это заявление компании, а не результат независимой проверки.
Практические рекомендации
- Нормализация Unicode на входе: Microsoft рекомендует удалять или нормализовать невидимые кодовые точки Unicode до применения правил на основе ключевых слов, сигнатур, регулярных выражений, спам-фильтров и фишинг-детекторов. Это ключевая мера — без неё любые keyword-правила могут быть обойдены.
- Детектирование присутствия символов Tags: добавьте правила, фиксирующие наличие символов из диапазона U+E0000–U+E007F в теле письма. Легитимное использование этого блока крайне редко — его присутствие само по себе является аномалией.
- Корреляция с доменными паттернами: комбинируйте детектирование символов Tags с анализом финансово-тематических доменов отправителей и наличием трекинговых доменов маркетинговых платформ в ссылках.
- Многоуровневая фильтрация: не полагайтесь на единственный метод детектирования. Сочетайте репутационный анализ, ML-классификацию, проверку аутентификации (SPF/DKIM/DMARC) и контентную фильтрацию.
- Мониторинг IOC: добавьте перечисленные домены отправителей в блок-листы и настройте алерты на трафик из сетевого блока 173.236.20[.]0/24 в сочетании с финансовой тематикой.
Данная кампания демонстрирует конкретный вектор: техники, разработанные для атак на ИИ-модели через скрытые инструкции, адаптируются для обхода традиционных средств защиты электронной почты. Приоритетное действие для команд безопасности — внедрить этап нормализации Unicode в конвейер обработки входящей почты до применения любых правил детектирования на основе содержимого. Организациям, использующим Microsoft Defender for Office 365, следует убедиться, что многоуровневые политики фильтрации активны и актуальны.
