Sukčiavimo el. laiškai vis dažniau naudoja SVG priedus, kad išvengtų aptikimo

Grėsmės veikėjai vis dažniau naudoja Scalable Vector Graphics (SVG) priedus, kad būtų rodomos sukčiavimo formos arba įdiegta kenkėjiška programa, vengdami aptikimo.

Dauguma žiniatinklyje esančių vaizdų yra JPG arba PNG failai, sudaryti iš mažų kvadratėlių, vadinamų pikseliais, tinklelių. Kiekvienas pikselis turi tam tikrą spalvos reikšmę ir kartu šie pikseliai sudaro visą vaizdą.

SVG, arba Scalable Vector Graphics, vaizdus rodo skirtingai, nes vietoj pikselių, vaizdai kuriami naudojant eilutes, figūras ir tekstą, aprašytą tekstinėse matematinėse kode formulėse.

Pavyzdžiui, šis tekstas sukurs stačiakampį, apskritimą, nuorodą ir tam tikrą tekstą:

<svg width="200" height="200" xmlns="http://www.w3.org/2000/svg">
    <!-- A rectangle -->
    <rect x="10" y="10" width="100" height="50" fill="blue" stroke="black" stroke-width="2" />

    <!-- A circle -->
    <circle cx="160" cy="40" r="40" fill="red" />

    <!-- A line -->
    <line x1="10" y1="100" x2="200" y2="100" stroke="green" stroke-width="3" />

    <!-- A text -->
    <text x="50" y="130" font-size="20" fill="black">Hello, SVG!</text>
</svg>

Atidarius naršyklėje, failas sugeneruos aukščiau esančiame tekste aprašytą grafiką.

Kadangi tai yra vektoriniai vaizdai, jų dydis automatiškai keičiamas neprarandant vaizdo kokybės ar formos, todėl puikiai tinka naudoti naršyklėse, kurių skiriamoji geba gali būti skirtinga.

SVG priedų naudojimas siekiant išvengti aptikimo

SVG priedų naudojimas sukčiavimo kampanijose nėra naujiena, nes „BleepingComputer“ praneša apie jų naudojimą ankstesnėse „Qbot“ kenkėjiškų programų kampanijose ir kaip būdą paslėpti kenkėjiškus scenarijus.

Tačiau, kaip teigia saugumo tyrinėtojas MalwareHunterTeam, kuris su „BleepingComputer“ pasidalino naujausiais pavyzdžiais (1, 2), grėsmės veikėjai vis dažniau naudoja SVG failus savo sukčiavimo kampanijose.

Šie pavyzdžiai ir kiti, kuriuos matė „BleepingComputer“, iliustruoja, kokie universalūs gali būti SVG priedai, nes jie ne tik leidžia rodyti grafiką, bet ir gali būti naudojami HTML rodyti naudojant elementą ir paleisti JavaScript, kai grafika įkeliama.

Tai leidžia grėsmės veikėjams kurti SVG priedus, kuriuose ne tik rodomi vaizdai, bet ir sukuriamos sukčiavimo formos, kad pavogtų kredencialus.

Kaip parodyta toliau, naujausiame SVG priede („VirusTotal“) rodoma netikra „Excel“ skaičiuoklė su integruota prisijungimo forma, kuri, kai pateikiama, siunčia duomenis grėsmės veikėjams.

Kiti SVG priedai, naudojami neseniai vykusioje kampanijoje (VirusTotal), apsimeta oficialiais dokumentais arba prašo daugiau informacijos, todėl raginama spustelėti atsisiuntimo mygtuką, kuris tada atsisiunčia kenkėjišką programą iš nuotolinės svetainės.

Kitose kampanijose naudojami SVG priedai ir įterptasis „JavaScript“, kad atidarius vaizdą automatiškai peradresuotų naršykles į svetaines, kuriose yra sukčiavimo formos.

Problema ta, kad kadangi šie failai dažniausiai yra tik tekstiniai vaizdų atvaizdai, saugos programinė įranga jų dažnai neaptinka. Iš pavyzdžių, kuriuos pamatė „BleepingComputer“ ir įkėlė į „VirusTotal“, saugos programinė įranga aptinka ne daugiau kaip vieną ar du.

Atsižvelgiant į tai, SVG priedas nėra įprastas teisėtiems el. laiškams ir turėtų būti nedelsiant vertinamas įtariai.

Jei nesate kūrėjas ir tikitės gauti tokio tipo priedus, saugiau ištrinti visus el. laiškus, kuriuose jie yra.