Nel corso del 2025, gli SVG stanno rapidamente diventando uno dei formati più sfruttati per veicolare attacchi di phishing e malware in modo furtivo e sempre più sofisticato. Tradizionalmente percepiti come semplici immagini vettoriali, gli SVG — in quanto basati su XML — possono contenere script, redirect, codice JavaScript e collegamenti dinamici, sfruttando le stesse capacità che li rendono potenti strumenti di grafica. È proprio questa flessibilità a renderli oggi una vera e propria tela per l’attaccante.
I gruppi criminali informatici hanno iniziato a includere allegati .svg nei messaggi email al fine di eludere i controlli antispam tradizionali. Il contenuto di questi file viene spesso offuscato usando encoding Base64 o rappresentazioni esadecimali, combinati con tecniche di evasione DOM come MutationObserver, setTimeout, eval e document.write. Alcuni SVG si presentano all’apparenza come semplici loghi o icone, ma una volta aperti nel browser — anche con un clic accidentale da webmail — eseguono automaticamente redirect verso pagine phishing o caricano moduli malevoli in linea con il design del sito impersonato. La cosa più pericolosa è che in molti casi il contenuto dannoso viene iniettato solo dopo il rendering lato client, rendendo inefficaci gli scanner che analizzano solo il contenuto statico del file.
Le campagne recenti come Shadow Vector in Colombia e SERPENTINE#CLOUD in Europa e Nord America dimostrano che gli SVG sono ora parte integrante di attacchi multistadio. Un esempio concreto: una email ben costruita con brand spoofing allega un SVG apparentemente innocuo, che porta a una landing page ospitata su un dominio legittimo come pages.dev. Da lì, l’utente scarica un file .zip contenente un .lnk, che lancia un payload in PowerShell o Python — spesso cifrato e iniettato in memoria — passando attraverso tunnel offerti da servizi come trycloudflare[.]com per nascondere origine e destinazione. In alcuni casi il payload è un Remote Access Trojan (RAT) con funzioni di persistence e credential harvesting.
Una delle sfide principali è che i file SVG non vengono ancora trattati come contenuto attivo dalla maggior parte dei client di posta elettronica legacy o dei sistemi SIEM aziendali. Alcuni gateway bloccano PDF, macro di Office, eseguibili e JavaScript ma lasciano passare SVG perché ritenuti file “immagine”. Questo errore di classificazione è ciò che gli attori malevoli stanno sfruttando con successo. Cloudflare e altri vendor hanno aggiornato i propri sistemi per rilevare indicatori specifici negli SVG, come redirect JavaScript, riferimenti a CDN sospette, pattern di offuscamento e DOM manipulation. Tuttavia, nella maggior parte dei contesti aziendali non c’è ancora una policy di quarantena o sandboxing per SVG allegati o linkati.
L’uso di tunnel pubblici (Cloudflare Tunnel, Ngrok, Localhost.run) è un altro nodo critico. Gli attaccanti stanno spostando payload e landing page su infrastrutture di terze parti affidabili, con certificati validi, rendendo inutile il blocco su base reputazionale. Una richiesta al dominio something.trycloudflare.com passa tutti i controlli SSL, spesso è servita da IP CDN condivisi e sfugge ai meccanismi di filtraggio classici. Anche i file SVG ospitati su queste risorse vengono serviti come image/svg+xml con contenuto dinamico embedded, rendendo possibile una “pagina phishing” che non sembra tale nemmeno ai sistemi EDR.
Nel panorama odierno, bloccare gli SVG tout court potrebbe sembrare eccessivo, ma ogni SOC dovrebbe almeno implementare una scansione deep per i file SVG contenenti script, a[href], foreignObject, iframe o eventi DOM (onload, onclick, onmouseover). La sola presenza di questi elementi dovrebbe essere sufficiente a innescare una quarantena o sandbox automatica. In ambienti dove non è possibile farlo, è utile applicare una regola mail gateway che metta in quarantena gli allegati .svg non firmati o da indirizzi non whitelistati. È anche opportuno disabilitare il rendering inline di SVG all’interno di strumenti di posta o interfacce web.
Gli SVG non sono più immagini. Sono codice attivo. E ogni codice attivo deve essere trattato come tale. La transizione del phishing da macro Office a link obliqui, QR code e SVG dimostra che non basta più guardare la superficie. Serve un’analisi comportamentale, contestuale e soprattutto consapevole del fatto che oggi, anche un file apparentemente innocuo può portare con sé un’intera catena d’attacco fileless, invisibile e persistente. Non è più solo una questione di attachment: è un problema di interpretazione, profondamente radicato nella fiducia implicita nei formati standard.
Commenti
Posta un commento