Zusammenfassung:
Eine Stealth-Technologie, die ursprünglich für Jailbreaking mit künstlicher Intelligenz und Prompt-Word-Injection-Angriffe bekannt war – „ASCII-Schmuggel“ – wird mittlerweile in großem Umfang für Spam- und Phishing-Aktivitäten missbraucht. Das Sicherheitsforschungsteam von Microsoft hat ergeben, dass Cyberangreifer diese Methode nutzen, um gängige E-Mail-Gateways und Anti-Spam-Systeme zu umgehen und betrügerische Nachrichten an Millionen von Postfächern zu übermitteln.
Das Kernprinzip des „ASCII-Schmuggels“ besteht darin, spezielle Unicode-Zeichen zu verwenden, die in modernen Textkodierungsstandards unsichtbar sind oder vom menschlichen Auge nicht wiedergegeben werden, um verborgene Informationen in scheinbar normalen Text einzubetten. Die am häufigsten missbrauchte Methode ist der Unicode-„Tags-Block“ (Kodierungsbereich: U+E0000 bis U+E007F). Dieser Block wurde ursprünglich für die Sprachauszeichnung entwickelt und wird heute weitgehend aufgegeben. Es enthält „Schattenbilder“ standardmäßig druckbarer ASCII-Zeichen (U+E0041 entspricht beispielsweise dem Großbuchstaben A). Bei der Betrachtung durch das menschliche Auge oder die meisten herkömmlichen Schnittstellen sind diese Zeichen völlig unsichtbar und zeigen keinen visuellen Inhalt an; Allerdings können die zugrunde liegende Parsing-Software und das große Sprachmodell der künstlichen Intelligenz diese verborgenen Texte beim Lesen des ursprünglichen Zeichenstroms immer noch erkennen und verarbeiten. Früher nutzten Hacker diesen Mechanismus häufig, um heimlich bösartige Anweisungen in den KI-Verarbeitungsprozess zu „schmuggeln“ und so den KI-Assistenten dazu zu bringen, private Daten preiszugeben oder unbefugte Vorgänge ohne Wissen des Benutzers durchzuführen.
Als das Microsoft-Forschungsteam jedoch eine Signaturbibliothek zum Schutz vor sofortiger Wortinjektion für sein Defender für Office 365-System entwickelte, entdeckte es versehentlich die getarnte Anwendung dieser KI-Angriffswaffe bei traditionellem Online-Betrug. Telemetriedaten zeigen, dass die Anzahl der Erfassungen dieser Unicode-Tag-Funktion ab dem 9. Februar 2026 explosionsartig zugenommen hat. Die Zahl der Erkennungen an einem einzigen Tag ist von Tausenden auf Zehntausende in der Vergangenheit sprunghaft auf über 1,3 Millionen gestiegen und erreichte Ende Februar einen Höchststand von über 2,37 Millionen an einem einzigen Tag. Dieser hochfrequente Angriffstrend hielt an Werktagen drei volle Monate an und zeigte die Merkmale einer sehr regelmäßigen automatisierten und groß angelegten Verbreitung.
Die Untersuchung zeigt, dass der Angreifer dieses Mal nicht versucht hat, Angriffsanweisungen in die KI einzuschleusen, sondern diese als ultimative Verschleierungsmethode des „Text Salting“ genutzt hat. Bei der traditionellen Phishing-Abwehr stützen sich Anti-Spam-Filter stark auf sensible Wörter und Regelsignaturen, um betrügerische E-Mails abzufangen. In der Vergangenheit wurden in Spam-E-Mails häufig Leerzeichen mit der Breite Null (U+200B) oder geschützte Leerzeichen (U+00A0) verwendet, um vertrauliche Wörter aufzuteilen. Solche Zeichen wurden jedoch von modernen Sicherheitsgateways grundsätzlich allgemein verteidigt. Bei dieser Operation griff die Betrügerbande auf die Verwendung unpopulärer Unicode-Tag-Zeichen zurück (z. B. das unsichtbare Tag-Leerzeichen U+E0020) und fügte sie stillschweigend in Finanzbetrugsschlüsselwörter wie „Darlehen“, „Finanzierung“ und „Kredit“ ein. Da die Existenz dieser Zeichen mit bloßem Auge nicht erkennbar ist, sehen normale Empfänger eine reibungslose und natürliche Texterstellung; Herkömmliche Sicherheits-Engines, die auf String-Matching basieren, sind jedoch völlig wirkungslos, da die Wörter auf der untersten Ebene zwangsweise abgeschnitten werden.
Noch problematischer ist, dass diese Verschleierungsmethode auch die neue Generation intelligenter E-Mail-Sicherheitserkennungssysteme beeinträchtigen kann, die auf großen Sprachmodellen (LLM) basieren. Wenn das KI-Sicherheitsmodell die Tokenisierung von E-Mails durchführt, stören die eingefügten speziellen Unicode-Zeichen direkt das semantische Verständnis des Tokenizers, wodurch es für das Modell unmöglich wird, kontextbezogene bösartige Merkmale genau zu verbinden und zu bestimmen, wodurch ein blinder Fleck bei der Verteidigung entsteht.
In der dieses Mal offengelegten Angriffswelle konzentrierten sich die Angreifer auf finanzielle Köder wie Finanzierungskredite für kleine Unternehmen, registrierten eine große Anzahl verwerfbarer E-Mail-Domänennamen mit spezifischen Finanzbegriffen und missbrauchten geschickt die Infrastruktur und die Link-Jump-Rewriting-Funktion der legitimen E-Mail-Marketing-Plattform ActiveCampaign, um die echten böswilligen Jump-Domänennamen zu verbergen und eine direkte Blockierung auf IP-Ebene zu vermeiden.
Sicherheitsexperten wiesen darauf hin, dass diese verdeckte Penetrationstaktik, die ursprünglich auf große, hochmoderne KI-Modelle abzielte, nun vollständig von Schwarzindustrien übernommen und in eine Waffe von Industriequalität gegen die täglichen Abwehrmaßnahmen von Unternehmen umgewandelt wurde. Dies verdeutlicht auch, dass die Grenzen zwischen Cyber-Angriff und Verteidigungsdimension zunehmend verschwimmen, da künstliche Intelligenz eng mit modernen Charakterstandards verknüpft ist. Als Reaktion auf solche aufkommenden Bedrohungen empfehlen Sicherheitsbehörden E-Mail-Systemadministratoren und Sicherheitsanbietern, spezielle Vorverarbeitungsschritte hinzuzufügen, bevor sie den Textabgleich und die semantische Modellanalyse durchführen, um Unicode-Tag-Blöcke und unsichtbare Steuerzeichen gründlich zu bereinigen und zu normalisieren, sodass im Nichts verborgene schädliche Funktionen unsichtbar sind.
Kommentare