KnowBe4 ha trovato una campagna BEC diretta ai team finance in cui Agent Tesla v4 usa un JScript pieno di emoji per passare oltre i controlli più semplici. Il punto non è la sola email: il vero varco è l’attachment che, una volta aperto, avvia il codice e trasforma l’utente nel passo di esecuzione.
Le emoji non cambiano il comportamento del script, ma ne sporcano la superficie abbastanza da rompere le regole basate su stringhe e rendere il codice meno leggibile a una verifica rapida. Da lì il payload raccoglie credenziali da oltre 40 applicazioni e le invia fuori in pochi secondi, senza lasciare un artefatto ovvio su disco che un controllo statico possa agganciare.
Per i difensori che si affidano soprattutto a filtraggio inbox e firme, il problema è questo punto di consegna: la rilevazione deve agganciare la combinazione tra Unicode anomalo e chiamate runtime di JScript, non il solo testo dell’esca. In questo schema, la superficie da proteggere non finisce nella casella di posta; arriva fino ai controlli che decidono cosa viene eseguito davvero.