Pengantar
Dalam lanskap keamanan siber yang terus berkembang, penyerang selalu mencari cara baru untuk melewati pertahanan tradisional. Salah satu metode terbaru dan paling berbahaya melibatkan penggunaan Scalable Vector Graphics (SVG) —format file yang biasanya dikaitkan dengan gambar yang bersih dan dapat diskalakan untuk situs web dan aplikasi. Namun di balik penampilannya yang tampak tidak berbahaya, SVG dapat menyimpan skrip berbahaya yang mampu menjalankan serangan phishing yang canggih.
Blog ini membahas bagaimana SVG dijadikan senjata, mengapa mereka sering kali lolos deteksi, dan apa yang dapat dilakukan organisasi untuk melindungi diri.
SVG: Lebih dari Sekadar Gambar
File SVG berbeda secara fundamental dari format gambar standar seperti JPEG atau PNG. Alih-alih menyimpan data piksel, SVG menggunakan kode berbasis XML untuk mendefinisikan jalur vektor, bentuk, dan teks. Hal ini menjadikannya ideal untuk desain responsif, karena dapat diskalakan tanpa kehilangan kualitas. Namun, struktur yang sama memungkinkan SVG untuk berisi JavaScript yang disematkan , yang dapat dieksekusi saat file dibuka di browser—sesuatu yang terjadi secara default pada banyak sistem Windows.
Sampel
- Lampiran Email: Dikirim melalui email spear-phishing dengan baris subjek yang meyakinkan dan peniruan identitas pengirim.
- Tautan Penyimpanan Cloud: Dibagikan melalui Dropbox, Google Drive, OneDrive, dll., seringkali melewati filter email.
Gambar tersebut menggambarkan rantai serangan phishing SVG dalam empat tahap berbeda: dimulai dengan email yang berisi lampiran SVG yang tampaknya tidak berbahaya, yang ketika dibuka, memicu eksekusi JavaScript di peramban, dan akhirnya mengarahkan pengguna ke situs phishing yang dirancang untuk mencuri kredensial.
Cara kerja serangan:
Saat target menerima lampiran SVG dan membuka email, berkas tersebut biasanya diluncurkan di peramban web default mereka—kecuali mereka memiliki aplikasi khusus yang diatur untuk menangani berkas SVG—yang memungkinkan skrip yang tertanam untuk segera dieksekusi.
Penyerang biasanya mengirimkan email phishing dengan subjek yang menipu seperti “Pengingat untuk Acara Terjadwal Anda 7212025.msg” atau “Pengingat-Rapat-7152025.msg” , yang dipasangkan dengan lampiran yang tampak tidak berbahaya bernama “Rapat Mendatang.svg” atau “Daftar-Tugas-Anda.svg” untuk menghindari kecurigaan. Setelah dibuka, JavaScript yang tertanam dalam file SVG secara diam-diam mengarahkan korban ke situs phishing yang sangat mirip dengan layanan tepercaya seperti Microsoft 365 atau Google Workspace. Seperti yang ditunjukkan pada gambar.
Dalam sampel SVG yang dianalisis, penyerang menyematkan tag within the SVG, using a CDATA section to hide malicious logic. The code includes a long hex-encoded string (Y) and a short XOR key (q), which decodes into a JavaScript payload when processed. This decoded payload is then executed using window.location = ‘javascript:’ + v;, effectively redirecting the victim to a phishing site upon opening the file. An unused email address variable (g.rume@mse-filterpressen.de) is likely a decoy or part of targeted delivery.
Setelah dekripsi, kami menemukan tautan phishing c2c sebagai
hxxps://hju[.]yxfbynit[.]es/koRfAEHVFeQZ!bM9
Tautan tersebut mengarah ke situs phishing yang dilindungi oleh gerbang CAPTCHA Cloudflare. Setelah Anda mencentang kotak untuk verifikasi, Anda adalah manusia, lalu Anda akan dialihkan ke halaman berbahaya yang dikendalikan oleh penyerang.
Halaman ini menyematkan formulir masuk Office 365 yang tampak asli, yang memungkinkan kelompok phishing menangkap dan memvalidasi kredensial email dan kata sandi Anda secara bersamaan.
Kesimpulan: Tetap Terdepan dari Ancaman Berbasis SVG
Seiring para penyerang terus berinovasi, organisasi harus menyadari risiko tersembunyi dalam format berkas yang tampaknya aman seperti SVG. Tim keamanan harus:
- Implementasi VE inspeksi konten mendalam untuk berkas SVG.
- Nonaktifkan rendering SVG otomatis di browser dari sumber yang tidak tepercaya.
- Berikan edukasi kepada karyawan tentang risiko membuka lampiran yang tidak dikenal.
- Pantau pengalihan yang tidak biasa dan aktivitas skrip dalam email dan lalu lintas web.
SVG mungkin merupakan alat yang ampuh bagi para pengembang, tetapi di tangan yang salah, SVG dapat menjadi senjata ampuh bagi penjahat siber. Kesadaran dan pertahanan proaktif adalah kunci untuk tetap terdepan dalam menghadapi ancaman yang sedang berkembang ini.
IOC
c78a99a4e6c04ae3c8d49c8351818090
f68e333c9310af3503942e066f8c9ed1
2ecce89fa1e5de9f94d038744fc34219
6b51979ffae37fa27f0ed13e2bbcf37e
4aea855cde4c963016ed36566ae113b7
84ca41529259a2cea825403363074538
Penulis:
Soumen Burma
Rumana Siddiqui
