С начала 2026 года эксперты по информационной безопасности фиксируют устойчивый рост числа инцидентов, связанных с использованием файлов формата SVG (масштабируемая векторная графика). Этот графический формат, ранее считавшийся безопасным, всё чаще применяется злоумышленниками для проведения фишинговых атак, скрытой загрузки вредоносного кода и кражи учётных данных. Особую угрозу SVG-файлы представляют для корпоративного сектора: атаки нацелены на крупные организации в сферах здравоохранения, строительства и банковского дела.
Описание
Формат SVG был разработан ещё в 1994 году, а в 1999 году стал открытым стандартом W3C для векторной графики в вебе. Его ключевая особенность - возможность встраивать исполняемый код JavaScript непосредственно в файл изображения. Это свойство, задуманное для создания интерактивных элементов и анимации, активно эксплуатируется создателями вредоносного ПО. В большинстве современных браузеров встроенный JavaScript выполняется по умолчанию, что открывает широкий простор для атак.
Вредоносные SVG-файлы можно разделить на три основных типа. Первый - перенаправление (редиректор): файл автоматически переводит пользователя на сторонний сайт, где происходит компрометация. Второй - полностью автономная фишинговая страница, созданная средствами HTML, CSS и JavaScript внутри SVG. Такая страница внешне неотличима от легитимной формы входа и перехватывает введённые учётные данные. Третий тип - злоупотребление DOM и встроенными скриптами, что может привести к межсайтовому скриптингу (XSS) или прямому выполнению вредоносных команд на устройстве пользователя.
Сложность обнаружения SVG-угроз заключается в том, что большинство систем безопасности рассматривают такие файлы исключительно как изображения и не анализируют их встроенное содержимое. Между тем SVG-файлы легко маскируются под вложения в письмах, размещаются на веб-страницах и могут одновременно выполнять как легитимные, так и вредоносные действия. При этом они не требуют особых привилегий для запуска скриптов - достаточно открыть файл в браузере.
Как показал анализ специалистов ReversingLabs, в начале 2026 года была зафиксирована волна целевых фишинговых атак с использованием SVG-вложений, замаскированных под голосовые сообщения. Злоумышленники встраивали в файлы адреса электронной почты - как закодированные в base64, так и в открытом виде. Это прямо указывает на прицельный характер атак: среди получателей фигурировали как общие контакты отделов (административные, финансовые), так и конкретные руководители высшего звена (CEO, финансовые менеджеры). В ряде образцов авторы использовали комментарии на испанском и русском языках, а также чрезмерное комментирование, типичное для кода, сгенерированного нейросетями.
Многие из исследованных файлов не содержали никакой графики - только JavaScript-код, перенаправляющий жертву на вредоносные домены. Для сокрытия конечных адресов применялись различные методы обфускации (запутывания кода). Исследователи декодировали несколько доменов, среди которых 01058telecom[.]de, qedhsp[.]cprltdf[.]es и wihportal[.]sbs. Содержимое этих сайтов осталось недоступным, но характер атак позволяет предположить, что они использовались для сбора учётных данных или доставки дополнительной вредоносной нагрузки.
Другой пример из телеметрии ReversingLabs - SVG-файл, который действует как полноценный веб-сайт. Он отображает текст (на нескольких языках) на тему онлайн-гемблинга, содержит внешние ссылки, в том числе на личный фотоблог, и предоставляет форму поиска. Введённые пользователем данные отправляются на сервер pinche[.]php, а также активируется скрипт с домена chx[.]js. Анализ архива интернет-страниц показал, что этот домен активно менялся на протяжении 2024-2025 годов и был связан с атакой, принуждавшей браузеры жертв к атаке полным перебором паролей на сайтах WordPress. Хотя вредоносный код не был напрямую встроен в SVG, он загружался по ссылке, что расширяет возможности использования формата в качестве платформы для доставки атак.
Наибольшую озабоченность вызывает трудность обнаружения SVG-угроз. Многие традиционные антивирусные решения и почтовые фильтры не распознают скрипты внутри изображений. Злоумышленники активно экспериментируют с вариациями кода: одни образцы почти идентичны, различаясь лишь целевым адресом, другие существенно различаются по структуре и методам кодирования. Некоторые файлы содержат признаки использования графических редакторов (LibreOffice, Inkscape), но большинство лишено графики - это чистый JavaScript.
Последствия успешной атаки через SVG-файл могут включать утечку корпоративных учётных данных, компрометацию внутренних систем, боковое перемещение по сети и дальнейшую эксфильтрацию информации. Особенно уязвимы организации, не применяющие специальные меры защиты от фишинга и не анализирующие вложения с расширением .svg на предмет встроенных скриптов.
Для снижения рисков эксперты рекомендуют внедрить фильтрацию электронных писем, содержащих SVG-вложения, - как на уровне почтового шлюза, так и на стороне клиента. Дополнительную защиту обеспечивают многофакторная аутентификация (в том числе с использованием аппаратных ключей FIDO) и постоянное повышение осведомлённости сотрудников о фишинговых схемах. SVG-файлы перестали быть безобидными изображениями. Организациям необходимо пересмотреть политики безопасности и добавить этот формат в список потенциально опасных типов файлов, требующих особой проверки.
Индикаторы компрометации
