MITRE ATT&CK T1027.018 è una sotto-tecnica di offuscamento che sfrutta caratteri Unicode invisibili per nascondere o suddividere il testo in contenuti malevoli. Il messaggio visibile può sembrare normale a una persona, ma i punti di codice sottostanti differiscono a sufficienza da confondere scanner, filtri e semplici regole basate su parole chiave.
Questo è importante perché molte difese contro phishing e spam si basano ancora sulla corrispondenza di stringhe, sulla tokenizzazione o su una normalizzazione leggera. Se una parola-esca viene interrotta da caratteri non stampabili, un gateway email può non riuscire a riconoscerla come sospetta anche se il lettore umano vede la frase prevista. In attacchi reali, questo può aiutare oggetti, corpi dei messaggi o contenuti di file malevoli a eludere il rilevamento senza cambiare ciò che percepisce la vittima. I difensori rispondono normalizzando il testo prima dell'analisi, rimuovendo o segnalando punti di codice insoliti e conservando il messaggio grezzo per l'analisi forense. L'offuscamento basato su Unicode non è di per sé prova di malware, ma è un forte segnale di hunting se combinato con altri indicatori.