Wprowadzenie do problemu / definicja
Pliki SVG są powszechnie postrzegane jako nieszkodliwe obrazy wektorowe, jednak z perspektywy cyberbezpieczeństwa stanowią aktywny format oparty na XML. Mogą zawierać skrypty, odwołania do zewnętrznych zasobów oraz logikę wykonywaną w przeglądarce, co sprawia, że załącznik wyglądający jak zwykła grafika może stać się nośnikiem phishingu.
W najnowszych kampaniach przestępcy wykorzystują pliki SVG podszywające się pod wiadomości głosowe. Taki zabieg pozwala łączyć skuteczną socjotechnikę z próbą obejścia części klasycznych filtrów pocztowych i systemów bezpieczeństwa.
W skrócie
Atakujący prowadzą kampanie phishingowe z użyciem załączników SVG stylizowanych na powiadomienia o nowej poczcie głosowej. Kluczową rolę odgrywa ukrycie aktywnej zawartości w pliku, który przez część narzędzi może zostać potraktowany jak zwykły obraz albo niegroźny plik tekstowy.
- Ofiara otrzymuje e-mail imitujący wiadomość o nowej poczcie głosowej.
- Załącznik SVG może być błędnie oznaczony innym typem MIME, np. jako plik tekstowy.
- Po otwarciu pliku uruchamiana jest aktywna zawartość renderowana w przeglądarce.
- Użytkownik trafia na stronę phishingową służącą do kradzieży poświadczeń.
Kontekst / historia
Phishing z użyciem plików SVG nie jest nową techniką, ale w ostatnich latach wyraźnie zyskał na popularności. Dzieje się tak dlatego, że łączy prostotę przygotowania przynęty z relatywnie wysoką skutecznością w omijaniu części zabezpieczeń opartych na uproszczonej klasyfikacji typów plików.
Przestępcy od dawna wykorzystują motywy związane z fakturami, podpisem elektronicznym, udostępnionymi dokumentami czy nagraniami głosowymi, ponieważ budują poczucie pilności. W omawianej kampanii szczególnie istotne jest połączenie przynęty „voicemail” z plikiem SVG, który formalnie może wyglądać na bezpieczny załącznik graficzny.
Badacze wskazują również na przypadki niespójności między deklarowanym typem MIME a rzeczywistą zawartością pliku. Jeśli system ochrony bardziej ufa nagłówkom niż faktycznej analizie zawartości, może nie uruchomić głębszej inspekcji takiego załącznika.
Analiza techniczna
Sedno ataku polega na tym, że SVG nie jest pasywnym obrazem w klasycznym rozumieniu. To tekstowy dokument XML, który może zawierać elementy interaktywne, skrypty JavaScript, osadzone dane oraz mechanizmy przekierowania użytkownika do zewnętrznych zasobów.
Po otwarciu w przeglądarce plik może wyrenderować interfejs przypominający odtwarzacz wiadomości głosowej, ekran weryfikacji lub stronę logowania. Dzięki temu ofiara często nie widzi niczego, co od razu wyglądałoby podejrzanie, a cały atak sprawia wrażenie standardowego procesu dostępu do wiadomości.
W praktyce łańcuch ataku wygląda następująco:
- do użytkownika trafia wiadomość e-mail podszywająca się pod powiadomienie o pozostawionej wiadomości głosowej,
- załącznik ma rozszerzenie .svg, ale w nagłówkach może zostać opisany jako inny typ pliku,
- przeglądarka interpretuje rzeczywistą zawartość SVG i uruchamia osadzoną logikę,
- użytkownik zostaje przekierowany do fałszywego ekranu logowania,
- atak kończy się próbą kradzieży loginu, hasła, a czasem także danych sesyjnych lub tokenów uwierzytelniających.
Z perspektywy detekcji szczególne znaczenie mają trzy elementy: brak klasycznego makra znanego z dokumentów biurowych, możliwość błędnej klasyfikacji na podstawie MIME oraz uruchamianie phishingowego ładunku lokalnie po stronie przeglądarki. To właśnie ta kombinacja utrudnia części narzędzi wykrycie zagrożenia na etapie dostarczenia wiadomości.
Tego rodzaju technika jest często określana jako SVG smuggling lub phishing z użyciem uzbrojonych plików SVG. W jednych wariantach złośliwy kod znajduje się bezpośrednio w załączniku, a w innych plik służy głównie do renderowania przynęty i przekierowania do infrastruktury atakującego.
Konsekwencje / ryzyko
Najbardziej bezpośrednim skutkiem takich kampanii jest kradzież poświadczeń do usług firmowych, zwłaszcza poczty elektronicznej i platform SaaS. Przejęcie skrzynki e-mail może szybko stać się punktem wyjścia do dalszych ataków, w tym oszustw BEC, przejmowania konwersacji biznesowych czy resetowania haseł w innych systemach.
Ryzyko jest szczególnie wysokie w organizacjach, które dopuszczają pliki SVG bez dodatkowej kontroli bezpieczeństwa lub opierają ochronę głównie na reputacji nadawcy i adresów URL. Problem rośnie także tam, gdzie brakuje spójnej weryfikacji zgodności między rozszerzeniem pliku, typem MIME i rzeczywistą strukturą dokumentu.
- kradzież kont pocztowych i dostępu do aplikacji biznesowych,
- rozprzestrzenianie phishingu wewnątrz organizacji,
- eskalacja do oszustw finansowych i BEC,
- naruszenie danych i przejęcie tożsamości użytkowników,
- wykorzystanie przejętych kont do ataków na partnerów i klientów.
Szczególnie narażeni są pracownicy działów sprzedaży, obsługi klienta, kadra zarządzająca oraz osoby często pracujące mobilnie. Dla tych grup powiadomienie o rzekomej wiadomości głosowej może wyglądać jak typowy element codziennej komunikacji.
Rekomendacje
Organizacje powinny traktować SVG jako potencjalnie aktywny format, a nie jako neutralny obraz. Ochrona poczty i punktów końcowych musi uwzględniać fakt, że taki plik może zawierać logikę wykonywaną po otwarciu w przeglądarce.
- blokować lub kierować do kwarantanny załączniki SVG, jeśli nie są niezbędne biznesowo,
- wymuszać głęboką inspekcję plików SVG niezależnie od deklarowanego typu MIME,
- analizować zgodność między rozszerzeniem, Content-Type i rzeczywistą strukturą dokumentu,
- wykrywać obecność skryptów, zdarzeń onload, przekierowań i osadzonych obiektów,
- uruchamiać podejrzane załączniki w sandboxie z emulacją renderowania przeglądarkowego,
- monitorować logi poczty, proxy i EDR pod kątem otwierania lokalnych plików SVG oraz późniejszych połączeń do zewnętrznych domen,
- szkolić użytkowników, że wiadomość głosowa w formie graficznego załącznika powinna wzbudzać ostrożność,
- wdrożyć odporne MFA oraz polityki Conditional Access ograniczające skutki przejęcia hasła,
- włączyć detekcję anomalii logowania po incydentach phishingowych.
Zespoły SOC i administratorzy systemów pocztowych powinni także aktualizować reguły detekcyjne o wskaźniki związane z phishingiem SVG. Chodzi zwłaszcza o nazewnictwo sugerujące voicemail, nietypowe deklaracje MIME oraz obecność osadzonego JavaScript.
Podsumowanie
Kampanie phishingowe wykorzystujące fałszywe załączniki głosowe SVG pokazują, że nawet pozornie bezpieczne formaty plików mogą zostać skutecznie uzbrojone. Połączenie socjotechniki, aktywnej zawartości i manipulacji typem MIME daje atakującym realną szansę na obejście części tradycyjnych mechanizmów filtrowania poczty.
Dla organizacji najważniejszy wniosek jest prosty: obraz nie zawsze jest pasywny. Skuteczna obrona wymaga analizy rzeczywistej zawartości i zachowania załączników, a nie wyłącznie ich rozszerzenia czy deklarowanego typu.
Źródła
- https://www.infosecurity-magazine.com/news/fake-voicemail-svg-files-bypass/
- https://www.kaseya.com/blog/svg-smuggling-voicemail-phishing-campaign/
- https://www.cloudflare.com/cloudforce-one/research/svgs-the-hackers-canvas/
- https://www.sophos.com/en-us/blog/svg-phishing
- https://www.vmray.com/hidden-in-plain-sight-how-threat-actors-abuse-svgs-for-phishing/