I virus viaggiano anche nelle immagini: cresce la minaccia "SVG Smuggling"

Negli scorsi giorni i ricercatori della società di sicurezza Ontinue hanno scritto un articolo che getta luce su una tecnica di hacking che sta prendendo molto piede: è stata battezzata SVG Smuggling, e come è facile immaginare sfrutta come vettore di attacco i noti file grafici vettoriali (l’acronimo significa Scalable Vector Graphics), in circolazione da inizio millennio e molto diffusi soprattutto nello sviluppo Web. Il formato è infatti stati sviluppato dal W3C, World Wide Web Consortium, si basa a sua volta sullo standard testuale XML.

Visto questo background, non è difficile intuire che gli attacchi SVG Smuggling prendono di mira soprattutto il browser Web. La tecnica consiste sostanzialmente nell’inclusione di script JavaScript nei sorgenti dei file immagine, opportunamente offuscati e resi invisibili ai più importanti strumenti di rilevamento dei virus - un “contrabbando” (in inglese appunto “smuggling”), insomma, di codice dannoso. Se il metodo di attacco è molto ingegnoso e, per certi versi, innovativo, tutto comincia nel più banale e tradizionale dei modi: il phishing.

Ebbene sì, la cara, vecchia email fasulla con link o allegato virulento continua a mietere vittime come se fossero gli Anni ‘90. I cybertruffatori fanno ricorso a tutti più classici cliché del settore, dal “azione necessaria per confermare l’account” a “spedizione in sospeso” a “promemoria pagamento” - tutto pur di indurre il malcapitato utente a scaricare ed eseguire il file infetto, in questo caso appunto un SVG - o a seguire il link alla pagina in cui l’SVG è stato caricato. Questo scenario è il più pericoloso perché non è necessario scaricare il file: basta caricare la pagina che lo contiene. Non appena ciò avviene, si mette in moto lo script che compromette il sistema, generalmente forzando il browser a caricare siti pericolosi che possono dare il via a svariate altre forme di attacco, da furto di credenziali e informazioni sensibili a veri e propri attacchi al computer, e via dicendo.

CLICCA QUI PER CONTINUARE A LEGGERE