اگر تا امروز فکر میکردید فایلهای تصویری بیخطرند، بهتر است دوباره فکر کنید کنید. گزارش تازه VirusTotal نشان میدهد هکرها از فرمت SVG برای پنهانسازی بدافزار و اجرای کمپینهای فیشینگ استفاده میکنند؛ آنهم به شکلی که تقریباً تمامی آنتیویروسهای محبوب قادر به شناسایی آن نبودهاند!
فایلهای SVG معمولاً برای نمایش تصاویر وکتور به کار میروند، اما به دلیل ماهیت XML محور خود، میتوانند شامل کدهای قابل اجرا مثل HTML و JavaScript باشند. همین ویژگی باعث شده مهاجمان سایبری بتوانند از آنها بهعنوان صفحات وب جعلی یا حتی کیت کامل فیشینگ استفاده کنند.
چگونه تصویر SVG به تله تبدیل شد؟
طبق گزارش VirusTotal، یکی از این فایلها با ظاهر شبیه به ابلاغیه سیستم قضایی کلمبیا پخش شده بود. کاربر پس از باز کردن فایل، با یک پورتال جعلی و دکمه دانلود ابلاغیه قضایی روبهرو میشد. اما کلیک روی دکمه، یک فایل ZIP آلوده را دانلود میکرد که شامل مرورگر دستکاریشده Comodo Dragon و یک فایل DLL مخرب بود. اجرای این بسته در نهایت منجر به نصب بدافزارهای بیشتر روی سیستم قربانی میشد.
بررسیهای بعدی نشان داد این تنها یک نمونه نادر نبوده است. VirusTotal بیش از ۵۰۰ فایل SVG آلوده را به این کمپین نسبت داده که در میان آنها ۴۴ فایل هنگام ارسال کاملاً از دید موتورهای آنتیویروس پنهان مانده بودند. مهاجمان برای فریب سامانههای امنیتی از تکنیکهای مبهمسازی کد و حجم زیادی کد اضافی بیفایده استفاده کرده بودند تا شناسایی آن سختتر شود.
این نخستین بار نیست که SVG بهعنوان سلاح فیشینگ استفاده میشود. پیشتر تیمهای امنیتی IBM X-Force و Cloudflare هم هشدار داده بودند که استفاده از این فرمت در حملات بانکی و سرقت اطلاعات حساب کاربری رو به افزایش است. حتی مایکروسافت تصمیم گرفته پشتیبانی از نمایش مستقیم فایلهای SVG در Outlook را متوقف کند تا این مسیر حمله بسته شود.
هرچند در گزارشها اشارهای به ایران نشده، اما با توجه به ماهیت جهانی این نوع حملات و استفاده گسترده کاربران ایرانی از پیامرسانها، ایمیل و فضای ابری، خطر مشابه برای کاربران داخلی نیز وجود دارد. به همین دلیل توصیه میشود همانطور که با فایلهای ناشناس EXE یا ZIP با احتیاط برخورد میکنید، به فایلهای تصویری با فرمت SVG نیز اعتماد نکنید؛ حتی اگر از طرف یک منبع ظاهراً معتبر ارسال شده باشند. همچنین نصب بودن یک آنتی ویروس مطرح را به هیچ عنوان نادیده نگیرید.
