Новые SVG-атаки обходят антивирусы: как шпионское ПО маскируется под изображения

По данным VirusTotal, в сентябре было выявлено 44 ранее неизвестных вредоносных файла формата SVG, использовавшихся для распространения шпионского ПО. Эти файлы, созданные с применением технологии Scalable Vector Graphics, содержали активный код, позволяющий обойти стандартные антивирусные системы.

Механизм атаки

Файлы SVG, как правило, применяются для создания масштабируемых графических изображений. Однако в данном случае злоумышленники использовали их как вектор доставки вредоносного ПО. В ходе атаки SVG-файл имитировал уведомление от судебной системы Колумбии, включая визуальные элементы вроде фейковой прогресс-бара и кнопки загрузки.

После открытия файла пользователь видел в браузере визуально правдоподобную веб-страницу. При нажатии на кнопку загрузки распаковывался ZIP-архив, содержащий подписанное приложение Comodo Dragon и вредоносный .dll-файл. Выполнение этого файла приводило к установке дополнительного вредоносного ПО.

Особенности реализации

Атака основывалась на поддержке SVG встроенными HTML- и JavaScript-скриптами. Это позволяет использовать такие файлы как полноценные веб-страницы, включая полноценные фишинговые комплекты. По данным VirusTotal, 523 SVG-файла были связаны с данной кампанией. Из них 44 оставались незамеченными любыми антивирусными движками на момент их обнаружения.

Вредоносный код включал методы обфускации и большое количество «пустого» кода, что усложняло статический анализ и позволяло обойти стандартные системы обнаружения.

Развитие угрозы

Схожие атаки были зафиксированы ранее. В этом году IBM X-Force сообщила о фишинговых кампаниях, направленных на банки и страховые компании. Cloudflare также отметила рост числа SVG-файлов, используемых для перенаправления или сбора учетных данных. Компании вроде Sophos обновили правила обнаружения после выявления SVG-нагрузок, способных обойти фильтры.

В ответ на угрозу Microsoft объявила о прекращении поддержки встроенной отрисовки SVG в веб-версии Outlook и новой версии Outlook для Windows. Теперь такие файлы не отображаются, а вместо них пользователь видит пустое пространство. Это ограничивает возможность внедрения активного контента в тело сообщения.

Угрозы, связанные с SVG-файлами, демонстрируют эволюцию методов кибератак. Использование графических форматов в качестве вектора доставки вредоносного ПО требует пересмотра стандартных подходов к безопасности. Для организаций важно обновлять политики контроля доступа и усиливать обучение сотрудников.

Атаки через SVG: как графика стала оружием киберпреступности

Скрытые механизмы и мотивы злоумышленников

Современные кибератаки всё чаще используют неочевидные векторы проникновения — в данном случае, графический формат SVG. Злоумышленники воспользовались тем, что SVG-файлы поддерживают встроенные скрипты, что позволяет им имитировать полноценные веб-страницы. Такой подход позволяет обойти стандартные фильтры безопасности, поскольку файлы графики не вызывают подозрений у пользователей и антивирусных систем.

Во втором квартале 2025 года злоумышленники активно использовали SVG-файлы для распространения вредоносного ПО, включая такие инструменты, как XWorm, Remcos RAT и Lumma Stealer. Атаки происходили через поддельные документы и письма, имитирующие счета, прикрепленные в формате SVG. При открытии такие файлы запускали обратные shell-соединения и собирали данные. Использование доверенного формата позволило атакующим избежать обнаружения стандартными средствами безопасности.

Ключевая идея: Новые методы кибератак основаны на манипуляции доверием к привычным форматам и системам.

Системные последствия и долгосрочные риски

Рост атак через SVG-файлы указывает на смещение фокуса злоумышленников с традиционных методов (например, вложений в email) на более «незаметные» векторы. Это создает вызовы реализации для IT-департаментов, поскольку стандартные решения могут не справляться с обфусцированным кодом и маскировкой под легитимные элементы.

В ответ крупные технологические компании, такие как Microsoft, уже предпринимают меры: ограничивают отображение SVG в почтовых клиентах. Это снижает риск автоматического выполнения вредоносного кода, но не устраняет проблему полностью.

Ключевая идея: Повышение уровня защиты требует не только технических обновлений, но и пересмотра подходов к пользовательскому опыту и обучению сотрудников.

Важность для российских организаций

Для российских компаний, сталкивающихся с ростом киберугроз в условиях санкционного давления, подобные атаки представляют повышенный риск. Злоумышленники могут использовать такие методы для компрометации корпоративных систем, включая государственные структуры. Учитывая, что SVG-файлы легко распространяются через email и веб-сайты, важно включить их в перечень контролируемых элементов.

Согласно данным аналитиков, в январе—августе 2025 года в российском сегменте интернета зафиксировано 13 млрд утекших строк персональных данных, что в 3,7 раза превышает показатель аналогичного периода 2024 года. Фишинговые атаки стали технически более сложными, а количество выявленных фишинговых сайтов почти удвоилось. Это связано с ростом организованности киберпреступности, где синдикаты работают по бизнес-моделям с KPI и CRM-системами.

Ключевая идея: Для российских организаций важно учитывать эволюцию методов кибератак и адаптировать внутренние процессы безопасности под новые векторы угроз.

Рекомендации по снижению рисков

Для минимизации ущерба от подобных атак рекомендуется:

• Внедрить строгие политики контроля вложений в почтовые клиенты, включая ограничения на открытие SVG-файлов.
• Проводить регулярные тренинги сотрудников по вопросам кибербезопасности, особенно по распознаванию фишинговых писем и подозрительных вложений.
• Обновлять антивирусные и антималварные решения, чтобы они могли обрабатывать SVG-файлы и скрипты.
• Использовать многофакторную аутентификацию для доступа к корпоративным системам.
• Проводить аудиты и мониторинг подозрительных действий в системах, особенно в государственном и промышленном секторах.

Эти меры помогут повысить устойчивость к атакам и снизить вероятность утечек данных.