SVG-файлы как новый вектор атаки: злоумышленники скрывают вредоносный код в графических изображениях

SVG-файлы основаны на XML, имеют текстовую структуру и поддерживают скрипты, стилизацию и анимацию. Это делает их чем-то средним между изображением и веб-приложением. Именно эти возможности активно используют злоумышленники, встраивая в графику редиректы на фишинговые страницы, JavaScript-полезную нагрузку или даже похитители учетных данных.

Одним из ярких примеров стала кампания Shadow Vector, нацеленная на пользователей в Колумбии. Злоумышленники применяли технику SVG Smuggling, внесённую в матрицу MITRE ATT&CK. Жертвы получали spear-phishing письма с SVG-вложениями, которые при открытии в браузере перенаправляли на легитимные файлообменники, такие как Dropbox или Discord, откуда загружались вредоносные DLL и исполняемые файлы. Финальной целью была установка троянов удаленного доступа (RAT).

Статистика подтверждает растущую угрозу. Ещё в мае 2025 года специалисты Sublime Security сообщили о росте числа SVG-полезных нагрузок в фишинговых письмах на 47 000%. Хотя многие такие атаки относятся к категории Phishing-as-a-Service (PhaaS) или массового мусорного спама, продвинутые группы, такие как SocGhoulish, также активно используют этот вектор.

Обнаружение подозрительных SVG-файлов осложнено несколькими факторами: низким приоритетом проверки в большинстве систем безопасности, применением обфусцированного JavaScript для обхода статического анализа, а также размещением вредоносного контента на доверенных доменах.

Ключевую роль в противодействии таким угрозам играет использование YARA - языка для создания сигнатур, позволяющего выявлять подозрительные патерны в файлах. YARA-правила особенно эффективны на уровнях почтовых шлюзов, веб-прокси и песочниц, где можно перехватить файл до его попадания на конечное устройство.

Платформы вроде Stairwell предлагают ретроспективный анализ, позволяя искать по всем файлам, когда-либо присутствовавшим в инфраструктуре - даже если подозрительный SVG был загружен несколько месяцев назад. Это даёт возможность не только оперативно обнаруживать угрозы, но и проводить глубокое расследование инцидентов, определять масштаб компрометации и отслеживать связанные индикаторы компрометации.

Таким образом, SVG-файлы, оставаясь важным элементом современного веба, требуют повышенного внимания со стороны специалистов по кибербезопасности. Их способность обходить традиционные средства защиты делает необходимым использование продвинутых инструментов детекции, включая сигнатурный анализ и платформы ретроспективного поиска.