کارزار چه بود؟
پژوهشگران امنیتی مایکروسافت در ۱۲ شهریور ۱۴۰۵ از یک کارزار پرتعداد فیشینگ گزارش دادند که از نویسههای نامرئی Unicode برای شکستن واژههای مالی استفاده میکرد. متن روی صفحه برای کاربر عادی بود، اما میان حروف واژههایی مانند funding نویسههایی قرار داشت که دیده نمیشدند و میتوانستند تطبیق ساده کلیدواژه یا توکنسازی مدلهای تشخیص را مختل کنند.
سیگنال از جایی غیرمنتظره پیدا شد: تیم در حال ساخت شکارگر برای دستورهای مخفیشده علیه دستیارهای هوش مصنوعی در ایمیل بود. از ۲۰ بهمن ۱۴۰۴ تعداد تطبیقها ناگهان از حدود ۲۱ هزار پیام در روز به بیش از ۱٫۳ میلیون رسید و در ۲۲ بهمن از ۲٫۳ میلیون گذشت. مرحله پرحجم حدود سه ماه ادامه داشت و پس از ۲۵ اردیبهشت ۱۴۰۵ افت شدیدی کرد؛ این بازه فقط دوره استفاده از این تکنیک است، نه عمر کامل کارزار.
قاچاق ASCII چگونه کار میکند؟
نام رایج تکنیک ASCII smuggling است، اما حامل واقعی آن بلوک Tags در Unicode با بازه U+E0000 تا U+E007F است. این بلوک نسخهای سایهمانند از نویسههای قابل چاپ ASCII دارد و بیشتر قلمها و رابطها آن را نمایش نمیدهند. در نتیجه، انسان یک کلمه پیوسته میبیند، در حالی که نرمافزار رشتهای با کدهای اضافی میان حروف دریافت میکند.
این ویژگی در پژوهش امنیت هوش مصنوعی مشهور شد: مهاجم دستور را از چشم انسان پنهان میکند اما مدل زبانی که متن خام را میخواند، ممکن است آن را دریافت و اجرا کند. در کارزار تازه جهت حمله برعکس شده بود؛ هدف، دستور دادن به مدل نبود بلکه پنهانکردن واژههای طعمه از فیلتر ایمیل بود. تکنیک تازه نیست که نویسه نامرئی داخل کلمه قرار گیرد؛ انتخاب این بلوک خاص و مقیاس استفاده، بخش تازه ماجراست.
چرا فیلتر ممکن است فریب بخورد؟
اگر سامانه پیش از تحلیل متن، نویسههای نامرئی را حذف یا نرمال نکند، یک عبارت شناختهشده دیگر از نظر بایتی پیوسته نیست. تطبیق عبارت منظم ممکن است شکست بخورد و توکنساز یادگیری ماشین نیز واژه آشنا را به قطعههای نادر تقسیم کند. رفتار واقعی به ترتیب پردازش هر محصول بستگی دارد؛ به همین دلیل نمیتوان صرف وجود یک فیلتر مبتنی بر هوش مصنوعی را تضمین دفاع دانست.
در عین حال همین کمیابی به سود مدافع است. نویسههای بلوک Tags در ایمیل معمولی بسیار نادرند و حضورشان میتواند سیگنالی قوی باشد. استثناهایی مانند ایموجی پرچم انگلستان، اسکاتلند و ولز با توالی همین نویسهها ساخته میشوند؛ پس قانونی که هر نویسه را بدون زمینه مسدود کند مثبت کاذب میسازد. راه درست ترکیب محتوا، فرستنده، الگوی حجم و زیرساخت است.
ردپای عملیاتی کارزار
پیامها بیشتر طعمههای تأمین مالی کسبوکار و اعتبار را تبلیغ میکردند و دامنههای فرستنده از ترکیب واژههای مالی ساخته و مرتب تعویض میشدند. ارسال در روزهای کاری شدید بود و آخر هفته تقریباً خاموش میشد؛ الگویی که به زیرساخت زمانبندیشده ارسال انبوه شباهت دارد. حدود ۱۵۰ دامنه مالی در خوشه اصلی دیده شد.
ارسال از زیرساخت یک پلتفرم معتبر بازاریابی ایمیلی انجام میشد. در داده بررسیشده، حدود ۹۸٫۵ درصد پیامها با الگوی پاکت همان زیرساخت و ۹۹٫۸ درصد با الگوی پاکت یا دامنه رهگیری لینک همخوان بودند. حدود ۹۲ درصد حجم در دو هفته اندازهگیریشده از یک محدوده /24 آمده بود. مایکروسافت تأکید میکند این داراییهای سرویس قانونی، بهتنهایی شاخص مسدودسازی نیستند؛ مهاجم از اعتبار یک سرویس مشترک سوءاستفاده کرده است.
نسخه دفاعی برای سازمانها
اصل مرکزی ساده است: پیش از تطبیق، نرمالسازی کنید. موضوع و بدنه ایمیل باید قبل از قواعد کلیدواژه، عبارت منظم، طبقهبندی یادگیری ماشین و ورود به دستیار هوش مصنوعی از نویسههای کنترلی، بدون عرض و Tags پاک یا به شکل استاندارد تبدیل شود. نسخه خام باید برای جرمشناسی حفظ شود، اما مسیر تشخیص روی نمایش نرمالشده هم اجرا شود.
سپس وجود نویسههای نادر را با سابقه دامنه، احراز هویت ایمیل، مقصد لینک، الگوی ارسال و محتوای مالی ترکیب کنید. مایکروسافت میگوید بیش از ۹۹ درصد پیامهای مشاهدهشده با لایههایی غیر از سیگنال مستقیم Tags نیز علامت خوردهاند. این عدد اهمیت دفاع چندلایه را نشان میدهد و همزمان یادآور میشود امضای واحد، حتی اگر امروز دقیق باشد، با تغییر روش مهاجم عمر کوتاهی دارد.
- نویسههای U+E0000 تا U+E007F و دیگر نویسههای نامرئی را پیش از تحلیل نرمال کنید.
- متن خام و نسخه نرمالشده را برای تحقیق و مقایسه نگه دارید.
- قانون Unicode را با اعتبار فرستنده، لینک، احراز هویت و الگوی حجم ترکیب کنید.
- همان پاکسازی را پیش از خوراندن ایمیل به عاملهای هوش مصنوعی انجام دهید.
- برای استثناهای معتبر مانند برخی ایموجیهای پرچم آزمون مثبت کاذب بنویسید.
پیام این تهدید برای ایران
سازمانهای ایرانی معمولاً ترکیبی از دروازه ایمیل داخلی، سرویس ابری، نرمافزار قدیمی و قواعد دستی دارند. این ناهمگونی میتواند باعث شود نرمالسازی در یک لایه انجام و در لایه بعدی از بین برود. آزمون ایمن با پیامهای ساختگی، ثبت نسخه نرمافزار و بررسی ترتیب decode، normalize، tokenize و classify ضروری است. مسدودکردن یک IP یا سرویس بازاریابی مشترک میتواند مکاتبات سالم را هم قطع کند.
درس بزرگتر این است که مرز امنیت سنتی و امنیت هوش مصنوعی از بین رفته است. روشی که برای تزریق دستور به مدل مطرح شد، اکنون برای عبور از فیلتر کلاسیک استفاده میشود. تیمهای ایمیل، داده و هوش مصنوعی باید قواعد نرمالسازی و مدل تهدید مشترک داشته باشند؛ وگرنه یک متن واحد در سه سامانه سه معنای متفاوت پیدا میکند.
منابع و روش
این مقاله با اتکا به منابع اولیه زیر نوشته و دادهها در تاریخ انتشار بازبینی شدهاند. تحلیل و نتیجهگیری از نویسنده است.
دیدگاهها (۰)