{"id":51185,"date":"2026-09-04T18:17:05","date_gmt":"2026-09-04T16:17:05","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=51185"},"modified":"2026-09-04T18:17:05","modified_gmt":"2026-09-04T16:17:05","slug":"ascii-smuggling-phishing-kampagne-51185","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/ascii-smuggling-phishing-kampagne-51185\/","title":{"rendered":"Phishing-Kampagne umgeht Filter mit unsichtbaren Unicode-Zeichen"},"content":{"rendered":"

Eine neuartige Phishing-Kampagne nutzt unsichtbare Unicode-Zeichen, um Sicherheitsfilter zu umgehen und t\u00e4glich Millionen betr\u00fcgerischer E-Mails zuzustellen. Die Angreifer verwenden eine als \u201eASCII Smuggling\u201c bekannte Technik, um Finanz-Schlagw\u00f6rter wie \u201eFunding\u201c zu verschleiern und so die Erkennung durch E-Mail-Sicherheitsl\u00f6sungen zu verhindern. Microsoft<\/a> hat die Aktivit\u00e4t als \u201eHigh-Volume-Phishing-Kampagne\u201c eingestuft und detailliert beschrieben, wie die T\u00e4ter mit unsichtbaren Unicode-Tag-Zeichen arbeiten.<\/p>\n

Was ist ASCII Smuggling und wie funktioniert die Tarnung mit unsichtbaren Unicode-Zeichen?<\/h2>\n

ASCII Smuggling bezeichnet eine Methode, bei der nicht darstellbare Unicode-Zeichen verwendet werden, um Nachrichten oder Anweisungen in scheinbar harmlosem Text zu verbergen. Menschliche Benutzeroberfl\u00e4chen rendern diese Zeichen nicht, sodass der Text f\u00fcr den Empf\u00e4nger v\u00f6llig normal erscheint. E-Mail-Filter oder KI-Sprachmodelle hingegen interpretieren den Inhalt als echten Text, ohne die versteckten Zeichen zu ignorieren. Dies erm\u00f6glicht eine Umgehung von Sicherheitskontrollen, indem etwa das Wort \u201efunding\u201c durch ein unsichtbares Leerzeichen aus dem Unicode-Tags-Block (z.\u202fB. U+E0020) in \u201efun\u27e8U+E0020\u27e9ding\u201c aufgespalten wird \u2013 f\u00fcr den Betrachter lesbar, f\u00fcr einen auf exakte Zeichenketten pr\u00fcfenden Filter jedoch nicht mehr als zusammenh\u00e4ngendes Schl\u00fcsselwort erkennbar.<\/p>\n

Der am h\u00e4ufigsten missbrauchte Bereich ist der Unicode-Tags-Block (U+E0000 bis U+E007F). Dieser Block enth\u00e4lt eine Schattenkopie der druckbaren ASCII-Zeichen: So entspricht U+E0041 dem Buchstaben \u201eA\u201c und U+E0061 dem \u201ea\u201c. Urspr\u00fcnglich f\u00fcr Sprachmarkierungen vorgesehen, ist der Block heute weitgehend veraltet und wird von vielen Systemen nicht mehr korrekt verarbeitet. Genau diese L\u00fccke nutzen die Angreifer gezielt aus.<\/p>\n

Umfang und zeitlicher Verlauf der Kampagne<\/h2>\n

Die Kampagne befand sich laut Microsoft zwischen Februar und Mai 2026 in einer Hochphase. Nach dem 15. Mai 2026 brach das Volumen abrupt ein. Die Aktivit\u00e4t folgte einem w\u00f6chentlichen Rhythmus: An Wochenenden nahezu keine Nachrichten, montags dann wieder in voller St\u00e4rke. An Werktagen erreichte das E-Mail-Aufkommen sch\u00e4tzungsweise zwischen einer und 2,37 Millionen Nachrichten, mit einem Spitzenwert am 26. Februar 2026. Insgesamt sind in diesem Zeitraum mehrere hundert Millionen Phishing-Mails zugestellt worden.<\/p>\n

Die Forscher von Microsoft sehen einen Zusammenhang mit einer breiter angelegten Phishing-Kampagne, die \u00fcber die Marketing- und Automatisierungsplattform ActiveCampaign tausende KI-generierte<\/a> Phishing-E-Mails an Antragsteller von SBA-Darlehen (Small Business Administration) verschickte. Bereits im September 2025 hatte das Fortra Intelligence and Research Team (FIRE) Details zu dieser Operation ver\u00f6ffentlicht. Die T\u00e4ter sammelten dabei umfassende Gesch\u00e4fts- und Finanzinformationen, vermutlich um sp\u00e4ter gezielte Spear-Phishing-Angriffe<\/a> durchzuf\u00fchren. Die Besonderheit dieser Kampagne lag in der F\u00e4higkeit, massenhaft \u00fcberzeugende, ma\u00dfgeschneiderte Websites zu generieren, die sich an verschiedene illegitime oder imitierte Domains anpassten. ActiveCampaigns KI-gest\u00fctzte Marketing-Automatisierung erlaubte es den Angreifern, Design, Inhalt und Ablauf der Phishing-Seiten schnell zu variieren und so noch authentischer zu wirken.<\/p>\n

Technische Details: Wie die unsichtbaren Zeichen eingesetzt werden<\/h2>\n

Die eigentliche Neuerung liegt in der Wahl der Unicode-Zeichen und dem massiven Ma\u00dfstab der Kampagne. Die Angreifer f\u00fcgen unsichtbare Tag-Zeichen in g\u00e4ngige Finanzbegriffe ein, um diese zu fragmentieren. Aus \u201efunding\u201c wird so beispielsweise \u201efun\u27e8U+E0020\u27e9ding\u201c. F\u00fcr den Empf\u00e4nger und f\u00fcr Parsing-Pipelines, die solche Zeichen reduzieren oder normalisieren, bleibt das Wort lesbar. Ein Detektor jedoch, der nach der exakten Zeichenkette \u201efunding\u201c sucht oder einen regul\u00e4ren Ausdruck verwendet, der nicht auf eingestreute unsichtbare Codepunkte ausgelegt ist, findet das zusammenh\u00e4ngende Schl\u00fcsselwort nicht mehr. Auf diese Weise umgehen die Mails sowohl einfache als auch komplexe Filtersysteme.<\/p>\n

Die Kampagne nutzte hunderte kurzlebiger, auf Finanzthemen ausgerichteter Absender-Domains. Die Betreffzeilen und E-Mail-Inhalte imitierten \u00fcbliche Phishing-Muster f\u00fcr Gesch\u00e4ftskredite, Kreditlinien und Vorfinanzierungen, wie sie typischerweise bei Betrug oder Credential-Harvesting vorkommen. Die zehn am h\u00e4ufigsten verwendeten Absender-Domains sind:<\/p>\n