Según un estudio reciente realizado por Sophos, los cibercriminales han incrementado el uso de archivos gráficos para difundir enlaces maliciosos y malware durante las campañas de phishing. Estos archivos se emplean como herramienta para eludir las defensas tradicionales.
Los atacantes están utilizando específicamente el formato SVG, que permite dibujar imágenes vectoriales redimensionables mediante instrucciones de texto similares a XML. Algunas herramientas antispam pueden no considerar estos archivos como una amenaza debido a su naturaleza gráfica.
Los archivos SVG ofrecen varias ventajas para los actores de amenazas, entre ellas:
- Se abren en el navegador predeterminado de las computadoras Windows
- Pueden contener etiquetas de anclaje, secuencias de comandos y otros tipos de contenido web activo
- Permiten dibujar una variedad de formas y gráficos para hacerse pasar por múltiples entidades
El uso de SVG como medio de ataque se ha observado desde fines de 2024, con un aumento notable a partir de mediados de enero de 2025. Los ataques suelen incluir múltiples líneas de asunto y señuelos para incitar al objetivo a hacer clic en imágenes SVG maliciosas.
Estos señuelos pueden incluir mensajes de voz, contratos, confirmación de pago e inscripción en salud y beneficios. Los ataques también se hacen pasar por marcas conocidas como DocuSign, Microsoft SharePoint, Dropbox y Google Voice. Además, se han descubierto versiones que apuntan a distintos idiomas según el dominio de nivel superior del destinatario.
Los archivos SVG maliciosos más simples contienen una o varias líneas de texto con hipervínculos como «Haga clic para abrir». Otros archivos más elaborados incluyen imágenes incrustadas diseñadas para hacerse pasar por marcas conocidas. Los enlaces llevan a páginas de phishing alojadas en dominios controlados por el atacante.
Casi todas las páginas observadas estaban bloqueadas con un CAPTCHA de CloudFlare para evitar visitas automáticas. Los sitios también obtienen previamente el contenido del cuadro de diálogo de inicio de sesión de Office365 y presentan al objetivo todas las animaciones esperadas que son familiares para un usuario de O365.
Cuando el objetivo ingresa sus datos de inicio de sesión, la mayoría de los sitios capturan inmediatamente el texto ingresado y lo exfiltran directamente al dominio que aloja el iFrame en el que aparece el cuadro de diálogo de inicio de sesión. En algunos casos, las credenciales se transmitieron a varios sitios simultáneamente. Una sesión incluso pasó las credenciales a un bot de Telegram utilizando la API del servicio de mensajería.
Nuevas técnicas de phishing que eluden la seguridad
El uso de archivos gráficos para robar credenciales y entregar malware destaca las nuevas tácticas de phishing empleadas para eludir las defensas. Esto incluye los tipos de enlaces y archivos maliciosos utilizados, como los códigos QR, que están diseñados para evadir las defensas basadas en el reconocimiento óptico de caracteres (OCR).
La suplantación de dominios para hacerse pasar por marcas también se ha convertido en algo habitual. En julio de 2024, Guardio Labs informó que los ciberdelincuentes explotaron una configuración modificable en el servicio de protección de correo electrónico de Proofpoint. Esto permitió a los actores de amenazas crear correos electrónicos que imitaban los relés de correo electrónico oficiales de Proofpoint con firmas autenticadas de Sender Policy Framework (SPF) y DomainKeys Identified Mail (DKIM).
Los investigadores de Check Point revelaron en diciembre de 2024 que los ciberdelincuentes eludieron las medidas de seguridad del correo electrónico mediante el uso de Google Calendar y Drawings para enviar invitaciones aparentemente legítimas que contenían enlaces maliciosos.
Los atacantes también se han vuelto más expertos en eludir las protecciones de autenticación multifactor (MFA) durante las campañas de phishing. En una campaña reciente observada por Abnormal Security, los atacantes aprovecharon páginas de inicio de sesión falsificadas para robar credenciales y eludir la MFA mediante Microsoft Active Directory Federation Services (ADFS), una solución de inicio de sesión único.