بسیاری از عوامل تهدید (Threat Actors) مرحله اول حملات خود را به فایل‌های تصویری منتقل کرده‌اند. یکی از فرمت‌های مورد علاقه آن‌ها SVG است؛ چرا که سیاست‌های امنیتی ایمیل، این فرمت را صرفاً بر اساس پسوند آن، بی‌خطر تلقی می‌کنند. اما برخلاف تصور، SVG از پیکسل‌ها تشکیل نشده و در واقع یک فایل XML است که توسط مرورگر Parse و اجرا می‌شود.
چرا SVG خطرناک است؟
یک فایل SVG می‌تواند حاوی تگ‌های <script> باشد، یک صفحه لاگین جعلی و تمام‌صفحه را رندر کند و به راحتی از فیلترهایی که برای شناسایی فایل‌های اجرایی (Executables) و آرشیوها طراحی شده‌اند، عبور کند. این ویژگی‌ها باعث شده است که SVG به یکی از سه نوع رایج‌ترین پیوست‌های مخرب در حملات تبدیل شود.
تفاوت در مسیر بازرسی فایل‌ها
در سیستم‌های امنیتی، تفکیک بین فایل‌های PE (مانند .exe, .dll, .sys) و Non-PE (مانند .pdf, .docx, .svg) تعیین می‌کند که فایل از چه مسیر بازرسی عبور کند. در حالی که پسوندهایی مانند .js، .vbs و .ps1 در لیست‌های مسدودسازی پیش‌فرض پلتفرم‌های ایمیلی قرار دارند، پسوند .svg معمولاً آزاد است. حتی با وجود محدودیت‌هایی که برخی سرویس‌ها برای رندر نکردن SVGهای داخلی (Inline) ایجاد کرده‌اند، ارسال این فایل‌ها به عنوان پیوست معمولی همچنان امکان‌پذیر است و در نهایت در مرورگر کاربر باز می‌شوند.
مکانیزم‌های اجرای کد در SVG
از آنجایی که مرورگرها SVG را به عنوان یک سند (Document) پردازش می‌کنند و نه یک بیت‌مپ ساده، مهاجمان از سه روش برای بهره‌برداری استفاده می‌کنند:
- جعل رابط کاربری: استفاده از
<foreignObject>برای رندر کردن فرم‌های لاگین یا نمایش‌دهنده‌های سند جعلی. - قاچاق HTML (HTML Smuggling): استفاده از Blob برای بازسازی یک آرشیو مخرب در حافظه مرورگر و ارائه آن به کاربر برای دانلود.
- تغییر مسیر (Redirect): هدایت کاربر به زیرساخت‌های خارجی مخرب بدون نیاز به قرار دادن URL در متن ایمیل، که باعث دور زدن بررسی‌های Reputation گیت‌وی‌های ایمیل می‌شود.
تکنیک‌های دور زدن شناسایی
مهاجمان برای مقابله با شناسایی‌های استاتیک (Static Detection)، از ابزارهای تولید خودکار استفاده می‌کنند تا هر نمونه فایل از نظر ساختاری یکسان اما از نظر Byte-wise منحصر‌به‌فرد باشد. این کار باعث می‌شود امضاهای مبتنی بر Hash و String عملاً بی‌اثر شوند. همچنین برخی حملات با تغییر Content-Type به text/plain، سیستم‌های مسیریابی محتوا را فریب می‌دهند، در حالی که با یک دوبار کلیک، فایل همچنان توسط مرورگر اجرا می‌شود.
تحلیل روند حملات و اهداف
داده‌های رصد شده نشان می‌دهد که این حملات در نیمی از سال ۲۰۲۶ کاهش یافته اما در ماه اوت ۲۰۲۶ به شدت افزایش یافته‌اند. این نوسانات نشان‌دهنده چرخش عوامل تهدید بین فرمت‌های مختلف برای دور زدن دفاعات است. اهداف این حملات به دو دسته کلی تقسیم می‌شوند:
- فیشینگ گسترده: هدف قرار دادن سازمان‌ها در ایالات متحده، بریتانیا و هلند با استفاده از تم‌های HR، صورت‌حساب‌ها و هشدارهای مایکروسافت برای سرقت اعتبارنامه (Credentials).
- توزیع بدافزار هدفمند: در مناطقی مانند آمریکای لاتین (به‌ویژه کلمبیا)، از SVG برای توزیع RATهای رایجی مانند AsyncRAT، Remcos و DCRat از طریق تم‌های مربوط به مقامات مالیاتی و قضایی استفاده شده است.
راهکارهای دفاعی
به دلیل ماهیت این حملات، اتکا به یک تکنولوژی واحد کافی نیست و رویکرد دفاع در عمق (Defense in Depth) ضروری است:
- استفاده از Machine Learning: به جای بررسی بایت‌ها، تحلیل ساختار و محتوای فایل برای شناسایی کدهای مخرب در قالب اسناد.
- محافظت در لایه ایمیل: مسدودسازی پیوست‌های مشکوک پیش از رسیدن به Inbox کاربر.
- امنیت وب و URL: بررسی مقصد نهایی Redirectها، زیرا زیرساخت‌های مهاجمان سریع‌تر از فایل‌های پیوست تغییر می‌کنند.
