En un entorno donde las imágenes son herramientas comunes para la comunicación y el entretenimiento, una nueva forma de ataque de phishing se está utilizando para engañar a los usuarios. Un informe reciente de Trustwave SpiderLabs revela que ha habido un aumento del 1.800 % en los ataques de phishing que emplean archivos SVG como medio de distribución.
SVG: una herramienta peligrosa
Los archivos SVG, conocidos por su ligereza y utilidad para crear iconos y logotipos nítidos, se basan en XML y pueden incrustar JavaScript. Esta característica los convierte en un medio potencialmente peligroso, ya que permite la inclusión de scripts maliciosos.
Los ciberdelincuentes aprovechan esta propiedad insertando código dañino directamente en los archivos SVG. Esto les permite acceder sin autorización, robar datos y vulnerar la identidad de las víctimas.
Phishing con apariencia legítima
Los ataques se han vuelto más sofisticados al imitar notificaciones oficiales. En una campaña específica, los atacantes replicaron una alerta de correo de voz de Microsoft Teams. El mensaje parecía auténtico y llevaba a los usuarios a descargar un archivo adjunto que en realidad era un archivo SVG malicioso.
El script utilizado incluía la etiqueta SVG <foreignObject> y ofuscación Base64, lo que permitió eludir las herramientas de seguridad tradicionales del correo electrónico. Al abrirse, la imagen mostraba un logotipo falso de Microsoft y redirigía a una página falsa de inicio de sesión de Office 365.
Plataformas de phishing como servicio
El phishing basado en SVG está impulsado por plataformas como Tycoon2FA, Mamba2FA y Sneaky2FA. Estos kits permiten a los atacantes integrar scripts ofuscados en archivos SVG, realizar ataques de tipo «Ataque en el Intermedio» (AiTM) y redirigir a usuarios a páginas que eluden la autenticación multifactor (MFA).
Recomendaciones para mitigar el riesgo
Para combatir esta amenaza, Trustwave SpiderLabs recomienda un enfoque multifacético:
- Evaluación de la opción de bloquear correos electrónicos con archivos adjuntos SVG o, como mínimo, marcarlos con una advertencia.
- Tener cuidado con los archivos adjuntos y enlaces: sospechar de los archivos inesperados y los enlaces incrustados.
- Verificar la autenticidad de los remitentes y el contenido.
- Capacitar a los empleados regularmente.
- Implementar sistemas robustos de filtrado y detección de amenazas.
- Implementar métodos de autenticación multifactor (MFA) con capas adicionales.
- Reforzar las defensas con métodos resistentes al phishing.
Esta campaña estaba vinculada a Mamba2FA, un grupo de phishing como servicio (PhaaS) conocido por su capacidad para eludir las protecciones de MFA.