Los delincuentes informáticos están utilizando una técnica llamada «ZeroFont» para hacer que los correos electrónicos maliciosos parezcan escaneados y protegidos por herramientas de seguridad como Microsoft Outlook. Esta estrategia consiste en utilizar fuentes de tamaño cero pixels, lo cual hace que el texto sea invisible para los humanos pero legible para algoritmos de inteligencia artificial.
ZeroFont: una técnica ya conocida
Esta técnica fue documentada por primera vez en 2018 por la empresa Avanan. Se basa en explotar fallas en el análisis que realizan los sistemas de procesamiento del lenguaje natural (NLP) y las inteligencias artificiales en plataformas de seguridad del correo electrónico.
El método implica insertar palabras o caracteres ocultos dentro de correos electrónicos, estableciendo el tamaño de fuente en cero. Esto hace que el texto sea invisible para los destinatarios humanos, pero aún así legible por algoritmos de análisis automatizados.
El objetivo principal es evadir los filtros de seguridad mediante la inserción de términos invisibles y benignos que se mezclan con contenido visible sospechoso. Esta técnica distorsiona la interpretación que hace la IA del contenido, lo cual puede afectar el resultado de los controles de seguridad.
En un informe publicado en 2018, Avanan advirtió que ZeroFont podía eludir la Protección avanzada contra amenazas (ATP) de Office 365 de Microsoft incluso cuando los correos electrónicos contenían palabras clave maliciosas conocidas.
Manipulación de vistas previas en Outlook
Un nuevo informe del analista Jan Kopriva, publicado por BleepingComputer, revela que los atacantes están utilizando ZeroFont para manipular las vistas previas de mensajes en clientes de correo electrónico como Microsoft Outlook.
En un caso específico, el correo electrónico mostraba un mensaje diferente en la lista de correo electrónico de Outlook que en el panel de vista previa. El panel de lista de correo electrónico indicaba «Escaneado y protegido por Isc®Advanced Threat Protection (APT): 22/9/2023T6:42 AM», mientras que el comienzo del correo electrónico en el panel de vista previa/lectura mostraba «Trabajo Oferta | Oportunidad de Empleo».
Esta discrepancia se logra aprovechando ZeroFont para ocultar el mensaje de análisis de seguridad falso al comienzo del correo electrónico. Aunque no sea visible para el destinatario, Outlook lo captura y lo muestra como una vista previa en el panel de lista de correo electrónico.
El objetivo es inculcar una falsa sensación de legitimidad y seguridad en el destinatario. Al presentar un mensaje engañoso de análisis de seguridad, aumenta la probabilidad de que el objetivo abra el mensaje e interactúe con su contenido.
Es posible que Outlook no sea el único cliente de correo electrónico que tome la primera parte de un correo electrónico para obtener una vista previa del mensaje sin comprobar si el tamaño de fuente es válido. Por lo tanto, se recomienda estar atentos a los usuarios de otros software.