Asurgents cybersäkerhetsblogg: ZeroFont: Ett osynligt hot

Phishing är en form av cyberattack där det populäraste tillvägagångsättet är via email. Avsändarna är oftast maskerade och målet med cyberattacken är att lura mottagaren att avslöja känslig information såsom användarnamn och lösenord, eller att öppna en bifogad fil innehållandes skadlig programvara

Phishingtekniken ”ZeroFont” bygger på att angripare gömmer text med fontstorlek noll i HTML. Detta gör att text blir osynlig för mottagaren av emailet. Med detta tillvägagångsätt så kan man enkelt bli lurad, då mailet vid förhandsgranskning kan se ut att vara legitimt.

Att bädda in text med fontstorlek noll är inte nytt utan har har upptäckts tidigare. Redan 2018 så rapporterade Avanan om detta tillvägagångssätt, och det var även då "ZeroFont" myntades.

I slutet av September-23 rapporterade ISC Sans analytikern Jan Kopriva om att angripare använder sig av ett nytt sätt av phishingtekniken ”ZeroFont”, som lurar Outlook att visa skadlig email som ”säkert skannat” i e-postfiltret. Detta lurar mottagare att öppna skadliga emails då phishingtaktiken går ut på att gömma falska säkerhetsmeddelanden i förhandsgranskningen av emailet.

I detta fall tog Jan Kopriva emot ett phishingmail som använde ZeroFont-tekniken för att få det att se ut att emailet hade skannats av anti-spam filtret.

"Scanned and secured by Isc®Advanced Threat protection (APT): 9/22/2023T6:42 AM" var skrivet i fontstorlek noll. Detta gör att den inmatade texten syns i början i det vänstra fönstrets meddelanden, förhandsvisningen, men inte i den högra sidan – dvs mailets innehåll. Målet är att ingjuta en falsk känsla av legitimitet och säkerhet hos mottagaren.

Att skydda sig mot denna attackmetod är svårt. Att förbli vaksam på avsändare, mailets innehåll samt länkar är fortfarande det bästa skyddet.

Källor:

• https://isc.sans.edu/diary/A+new+spin+on+the+ZeroFont+phishing+technique/30248/ 
• https://www.tripwire.com/state-of-security/zerofont-trick-dupes-users-thinking-message-has-been-scanned-threats
• https://www.avanan.com/blog/zerofont-phishing-attack?hs_amp=true