Εισαγωγή
Στο διαρκώς εξελισσόμενο τοπίο της κυβερνοασφάλειας, οι εισβολείς αναζητούν συνεχώς νέους τρόπους για να παρακάμψουν τις παραδοσιακές άμυνες. Μία από τις πιο πρόσφατες και πιο ύπουλες μεθόδους περιλαμβάνει τη χρήση κλιμακούμενων διανυσματικών γραφικών (SVG) — μιας μορφής αρχείου που συνήθως σχετίζεται με καθαρές, κλιμακούμενες εικόνες για ιστότοπους και εφαρμογές. Αλλά κάτω από την φαινομενικά ακίνδυνη εμφάνισή τους, τα SVG μπορούν να κρύβουν απειλητικά σενάρια ικανά να εκτελέσουν εξελιγμένες επιθέσεις ηλεκτρονικού "ψαρέματος" (phishing).
Αυτό το ιστολόγιο εξερευνά πώς τα SVG χρησιμοποιούνται ως όπλα, γιατί συχνά διαφεύγουν της ανίχνευσης και τι μπορούν να κάνουν οι οργανισμοί για να προστατευτούν.
SVGs: Κάτι περισσότερο από απλές εικόνες
Τα αρχεία SVG διαφέρουν ριζικά από τις τυπικές μορφές εικόνας όπως JPEG ή PNG. Αντί να αποθηκεύουν δεδομένα pixel, τα SVG χρησιμοποιούν κώδικα που βασίζεται σε XML για να ορίσουν διαδρομές διανυσμάτων, σχήματα και κείμενο. Αυτό τα καθιστά ιδανικά για σχεδίαση με δυνατότητα προσαρμογής, καθώς κλιμακώνονται χωρίς να χάνουν την ποιότητα. Ωστόσο, η ίδια δομή επιτρέπει στα SVG να περιέχουν ενσωματωμένο JavaScript , το οποίο μπορεί να εκτελεστεί όταν το αρχείο ανοίγει σε ένα πρόγραμμα περιήγησης—κάτι που συμβαίνει από προεπιλογή σε πολλά συστήματα Windows.
Παράδοση
- Συνημμένα ηλεκτρονικού ταχυδρομείουΑποστέλλονται μέσω email spear-phishing με πειστικά θέματα και πλαστοπροσωπία αποστολέα.
- Σύνδεσμοι αποθήκευσης στο cloud: Κοινοποιείται μέσω Dropbox, Google Drive, OneDrive κ.λπ., συχνά παρακάμπτοντας τα φίλτρα email.
Η εικόνα απεικονίζει την αλυσίδα επιθέσεων ηλεκτρονικού "ψαρέματος" (phishing) SVG σε τέσσερα διακριτά στάδια: ξεκινά με ένα email που περιέχει ένα φαινομενικά ακίνδυνο συνημμένο SVG, το οποίο, όταν ανοιχτεί, ενεργοποιεί την εκτέλεση JavaScript στο πρόγραμμα περιήγησης, ανακατευθύνοντας τελικά τον χρήστη σε έναν ιστότοπο ηλεκτρονικού "ψαρέματος" (phishing) που έχει σχεδιαστεί για να κλέβει διαπιστευτήρια.
Πώς λειτουργεί η επίθεση:
Όταν ένας στόχος λαμβάνει ένα συνημμένο SVG και ανοίγει ένα email, το αρχείο συνήθως εκκινείται στο προεπιλεγμένο πρόγραμμα περιήγησης ιστού —εκτός εάν έχει οριστεί μια συγκεκριμένη εφαρμογή για τη διαχείριση αρχείων SVG— επιτρέποντας την άμεση εκτέλεση τυχόν ενσωματωμένων σεναρίων.
Οι εισβολείς συνήθως στέλνουν email ηλεκτρονικού "ψαρέματος" (phishing) με παραπλανητικές γραμμές θέματος όπως "Υπενθύμιση για το προγραμματισμένο συμβάν σας 7212025.msg" ή "Υπενθύμιση-Συνάντησης-7152025.msg" , σε συνδυασμό με αβλαβή συνημμένα με το όνομα "Επερχόμενη Συνάντηση.svg" ή "Λίστα-προϋποθέσεων-Σύνδεσης.svg" για να αποφευχθεί η πρόκληση υποψιών. Μόλις ανοιχτεί, η ενσωματωμένη JavaScript στο αρχείο SVG ανακατευθύνει σιωπηλά το θύμα σε έναν ιστότοπο ηλεκτρονικού "ψαρέματος" (phishing) που μιμείται σε μεγάλο βαθμό αξιόπιστες υπηρεσίες όπως το Microsoft 365 ή το Google Workspace. Όπως φαίνεται στο σχήμα.
Στο αναλυμένο δείγμα SVG, ο εισβολέας ενσωματώνει ένα tag within the SVG, using a CDATA section to hide malicious logic. The code includes a long hex-encoded string (Y) and a short XOR key (q), which decodes into a JavaScript payload when processed. This decoded payload is then executed using window.location = ‘javascript:’ + v;, effectively redirecting the victim to a phishing site upon opening the file. An unused email address variable (g.rume@mse-filterpressen.de) is likely a decoy or part of targeted delivery.
Κατά την αποκρυπτογράφηση, βρήκαμε τον σύνδεσμο ηλεκτρονικού "ψαρέματος" (phishing) c2c ως
hxxps://hju[.]yxfbynit[.]es/koRfAEHVFeQZ!bM9
Ο σύνδεσμος οδηγεί σε έναν ιστότοπο ηλεκτρονικού "ψαρέματος" (phishing) που προστατεύεται από μια πύλη CAPTCHA του Cloudflare. Αφού επιλέξετε το πλαίσιο για να επαληθεύσετε ότι είστε άνθρωπος, τότε ανακατευθύνεστε σε μια κακόβουλη σελίδα που ελέγχεται από τους εισβολείς.
Αυτή η σελίδα ενσωματώνει μια φόρμα σύνδεσης στο Office 365 που μοιάζει με γνήσια, επιτρέποντας στην ομάδα ηλεκτρονικού "ψαρέματος" (phishing) να καταγράφει και να επικυρώνει ταυτόχρονα τα διαπιστευτήρια email και κωδικού πρόσβασης.
Συμπέρασμα: Παραμένοντας μπροστά από τις απειλές που βασίζονται σε SVG
Καθώς οι επιτιθέμενοι συνεχίζουν να καινοτομούν, οι οργανισμοί πρέπει να αναγνωρίσουν τους κρυφούς κινδύνους σε φαινομενικά ακίνδυνες μορφές αρχείων όπως το SVG. Οι ομάδες ασφαλείας θα πρέπει:
- Εφαρμογή εις βάθος επιθεώρηση περιεχομένου για αρχεία SVG.
- Απενεργοποίηση αυτόματης απόδοσης SVG από μη αξιόπιστες πηγές στο πρόγραμμα περιήγησης.
- Ενημερώστε τους υπαλλήλους σχετικά με τους κινδύνους ανοίγματος άγνωστων συνημμένων.
- Παρακολουθήστε για ασυνήθιστες ανακατευθύνσεις και δραστηριότητα σεναρίων στην επισκεψιμότητα μέσω email και ιστού.
Τα SVG μπορεί να είναι ισχυρά εργαλεία για τους προγραμματιστές, αλλά σε λάθος χέρια, μπορούν να γίνουν ισχυρά όπλα για τους κυβερνοεγκληματίες. Η ευαισθητοποίηση και η προληπτική άμυνα είναι το κλειδί για να παραμείνετε μπροστά από αυτήν την αναδυόμενη απειλή.
ΔΟΕ
c78a99a4e6c04ae3c8d49c8351818090
f68e333c9310af3503942e066f8c9ed1
2ecce89fa1e5de9f94d038744fc34219
6b51979ffae37fa27f0ed13e2bbcf37e
4aea855cde4c963016ed36566ae113b7
84ca41529259a2cea825403363074538
Συγγραφείς:
Σουμέν Βιρμανία
Ρουμάνα Σιντίκι
