کارزار فیشینگ گسترده با فایل‌های SVG مخرب، دولت کلمبیا را هدف قرار داد

بر اساس گزارش جدیدی که توسط VirusTotal منتشر شده است، یک کارزار فیشینگ پیچیده با استفاده از بیش از 500 فایل SVG آلوده، پورتال رسمی دولت کلمبیا را جعل کرده و بدافزار را به صورت پنهانی منتشر کرده است. این حملات نشان‌دهنده تکامل روش‌های نفوذگران برای دور زدن سیستم‌های امنیتی و آلوده کردن کاربران است.

فایل‌های SVG: ابزاری پنهان برای نفوذگران

فایل‌های Scalable Vector Graphics یا همان SVG، تصاویری سبک و مبتنی بر XML هستند که بدون افت کیفیت در هر وضوحی نمایش داده می‌شوند. اگرچه این فایل‌ها معمولاً بی‌خطر به نظر می‌رسند، اما قابلیت اجرای کد فعال را نیز دارند. همین ویژگی، آن‌ها را به ابزاری مناسب برای نفوذگران تبدیل کرده است تا بدافزار را به صورت پنهانی منتقل کنند و از دید آنتی‌ویروس‌ها پنهان بمانند.

کشف کارزار جدید توسط VirusTotal

گزارش تازه VirusTotal جزئیات این روش پیشرفته را آشکار می‌کند. در این بررسی، کارزاری شناسایی شد که از فایل‌های SVG مخرب برای انتشار بدافزار، جعل هویت یک نهاد دولتی و عبور کامل از شناسایی آنتی‌ویروس‌ها استفاده کرده است. این حملات بر قابلیتی شناخته‌شده اما کمتر مورد توجه استوار بود؛ فایل‌های SVG امکان جاسازی HTML و JavaScript دارند. به این معنا که می‌توانند مانند صفحات وب کوچک یا حتی کیت‌های کامل فیشینگ عمل کنند، چه در ضمیمه ایمیل قرار بگیرند و چه در فضای ابری میزبانی شوند.

جزئیات حمله: 44 فایل SVG فیشینگ کشف‌نشده

پلتفرم تحت مالکیت گوگل در تاریخ 13 شهریور اعلام کرد که سیستم Code Insight آن موفق به شناسایی فایلی شد که خود را به عنوان ابلاغیه قضایی از طرف نهاد قضایی کلمبیا معرفی می‌کرد. با باز کردن این فایل، یک پرتال اینترنتی جعلی به همراه نوار پیشرفت و دکمه دانلود به نمایش درمی‌آمد. کلیک روی این دکمه موجب دریافت یک آرشیو ZIP آلوده می‌شد که شامل مرورگر Comodo Dragon به همراه فایل اجرایی امضا شده و یک فایل .dll مخرب بود. اجرای فایل مرورگر باعث بارگذاری فایل .dll و نصب بدافزارهای بیشتر روی کامپیوتر می‌شد.

اسکن بازنگری‌شده VirusTotal نشان داد 523 فایل SVG به این کارزار مرتبط بوده که 44 مورد از آن‌ها هنگام ارسال کاملاً توسط موتورهای آنتی‌ویروس نادیده گرفته شدند. بر اساس یافته‌های VirusTotal، کد منبع این فایل‌ها شامل تکنیک‌های مبهم‌سازی و حجم بالایی از کدهای زائد برای افزایش پیچیدگی و دور زدن شناسایی ایستا بوده است.

اقدامات شرکت‌های بزرگ فناوری

در اوایل سال جاری، تیم X-Force شرکت IBM کارزارهای فیشینگ مبتنی بر SVG را علیه بانک‌ها و شرکت‌های بیمه مستند کرد. همچنین تیم امنیتی Cloudforce One از Cloudflare افزایش قابل‌توجه استفاده از SVG به عنوان ابزار تغییر مسیر یا برداشت اطلاعات ورود رمزگذاری‌شده را گزارش داد. در همین زمان، شرکت‌هایی مانند Sophos قوانین جدیدی برای شناسایی ایجاد کردند، پس از آنکه نمونه‌هایی از محموله‌های SVG را یافتند که از فیلترها عبور کرده بودند.

در یک اقدام مهم، مایکروسافت پشتیبانی از رندر درون‌خطی SVG در Outlook تحت وب و نسخه جدید Outlook برای ویندوز را متوقف می‌کند. بنابراین این فایل‌ها دیگر نمایش داده نمی‌شوند و تنها فضای خالی به جای آن‌ها ظاهر خواهد شد. این اقدام مسیر مهمی را که مهاجمان می‌توانستند از آن برای انتقال محتوای فعال در بدنه پیام استفاده کنند، مسدود می‌کند.

توصیه به کاربران برای حفظ امنیت

کاربران باید با فایل‌های ناشناخته SVG همان سطح احتیاطی را به خرج دهند که نسبت به هر فایل ناشناس دیگری دارند. همواره از باز کردن فایل‌های مشکوک، به خصوص آن‌هایی که از منابع نامعتبر ارسال شده‌اند، خودداری کنید و از به‌روز بودن نرم‌افزارهای امنیتی خود اطمینان حاصل نمایید.