SVG 附件助攻：钓鱼攻击的隐秘武器

重要资讯

• 威胁行为者利用可扩展向量图形 (SVG) 附件进行更隐秘的钓鱼或恶意软件攻击。
• SVG 文件可以显示 HTML 并执行 JavaScript 以窃取凭证。
• 攻击者利用假文件和官方请求来引诱目标下载恶意软件。
• 安全软件仍未能有效检测这一威胁，个人和组织需保持警惕。

根据
的报导，MalwareHunterTeam 最近发现，越来越多的威胁行为者利用可扩展向量图形 (SVG) 附件来进行更具隐蔽性的钓鱼或恶意软件攻击。

SVG 主要用于通过文本、线条和形状的代码创建图像，而不是像素，不过这类文件同样可以用来显示 HTML，并执行 JavaScript来窃取凭证。BleepingComputer 提到，有鉴于一个 SVG 附件伪装成 Excel试算表，其中包含一个登录表单，以便于数据外泄的发现，无疑引起了人们的警觉。

以下是针对近期 SVG 附件用于钓鱼攻击的典型手法：

攻击方式 | 描述
—|—
假文件 | 伪装成 Excel 试算表的 SVG 附件，诱使受害者输入登录信息。
钓鱼请求 | 伪造官方信息请求的 SVG 附件，诱导目标下载恶意软件。
重定向 | 使用包含图像的 SVG 文件，重定向至钓鱼表单。

这类威胁目前尚未被安全软件有效检测到，个人和组织应当更加警惕对 SVG 附件的使用。对于非开发者，更应立即删除这类可疑邮件，以降低潜在风险。