百度360必应搜狗淘宝本站头条
当前位置:网站首页 > 技术文章 > 正文

利用 SVG 文件内的 HTML 代码进行网络钓鱼攻击

myzbx 2025-04-30 18:20 21 浏览

随着时间的推移,网络钓鱼攻击的技术越来越精妙,旨在欺骗用户并规避安全措施。攻击者会使用欺骗性的 URL 重定向策略,例如将恶意网站地址附加到看似安全的链接后,在 PDF 中嵌入链接,以及发送HTML 附件(这些附件要么包含整个钓鱼网站,要么使用 JavaScript 启动钓鱼网站)。最近,我们注意到一种新趋势:攻击者正在以 SVG 格式(通常用于存储图像的格式)分发附件。

SVG 格式

SVG(可缩放矢量图形)是一种使用 XML 描述二维矢量图形的格式。SVG 文件在图像查看软件中打开时会显示如下内容。

SVG图像

但是,如果你在文本编辑器中打开它,你就可以看到描述图像的 XML 标记。这种标记可以轻松编辑图像参数,从而无需使用资源密集型的图形编辑器。

这是在文本编辑器中打开的 SVG 文件的样子

由于 SVG 基于 XML,因此与 JPEG 或 PNG 不同,它支持 JavaScript 和 HTML。这使得设计人员可以更轻松地处理文本、公式和交互元素等非图形内容。然而,攻击者利用了这一点,在图像文件中嵌入带有钓鱼页面链接的脚本。

嵌入 HTML 代码的 SVG 文件示例。该标签引入了 HTML 标记

利用 SVG 文件的网络钓鱼电子邮件活动

2025 年初,我们观察到网络钓鱼电子邮件类似于带有 HTML 附件的攻击,但使用的是 SVG 文件。

带有 SVG 附件的网络钓鱼电子邮件

查看电子邮件的源代码表明,附件被识别为图像类型。

电子邮件正文中显示的文件

然而,在文本编辑器中打开该文件后发现,它本质上是一个 HTML 页面,没有提及矢量图形。

SVG 文件的代码

在浏览器中,该文件显示为一个 HTML 页面,其中带有一个指向音频文件的链接。

以 HTML 形式查看的 SVG 文件

点击该链接会将用户重定向到伪装成 Google Voice 的网络钓鱼页面。

模仿 Google Voice 的网络钓鱼页面

页面顶部的音轨是一张静态图像。点击“播放音频”会将用户重定向到公司电子邮件登录页面,攻击者借此获取其凭据。该页面也提到了 Google Voice。此外,页面还包含目标公司的徽标,旨在降低用户的警惕性。

登录表单

在另一个例子中,攻击者模仿电子签名服务的通知,将 SVG 附件作为需要审查和签名的文档呈现。

网络钓鱼电子签名请求

与第一个示例(其中 SVG 文件充当 HTML 页面)不同,在这种情况下,它包含 JavaScript,当打开文件时,会启动一个浏览器窗口,其中包含一个带有伪造 Microsoft 登录表单的钓鱼网站。

SVG 文件的代码

网络钓鱼登录表单

统计数据

我们的遥测数据表明,2025 年 3 月 SVG 活动显著增加。仅在今年第一季度,我们就发现了 2,825 封此类电子邮件。

4 月份,上升趋势仍在继续:在上半月,我们检测到了 1324 封带有 SVG 附件的电子邮件,超过了 3 月份数量的三分之二。

总结

网络钓鱼者正在不断探索新的技术来规避检测。他们不断变换策略,有时采用用户重定向和文本混淆,有时则尝试不同的附件格式。SVG 格式能够在图像中嵌入 HTML 和 JavaScript 代码,而攻击者正是利用了这一点。尽管在本次研究期间 SVG 附件攻击尚未普及,但其攻击呈现明显的上升趋势。这些攻击目前相对简单(与 HTML 附件攻击场景类似),但其攻击手段涉及包含钓鱼链接页面或指向欺诈网站的重定向脚本的 SVG 文件。然而,利用 SVG 作为恶意内容容器也可用于更复杂的定向攻击。

相关推荐

怎么恢复7z文件 7z文件删除了怎么恢复

7z是一种压缩格式的文件,它运用LZMA压缩算法,该压缩算法的输出稍后被算数编码进行处理以便后续进一步压缩,压缩比十分高。我们可以将文件压缩成这种格式,便于传输,保存,占空间少。了解更多7z文件知识...

郎酒让消费者喝得明明白白 算术题里有答案

日前,『郎酒酱香产品企业内控准则』颁布,郎酒首次公开酱香产品生产全过程,公布酱香产品产能、储能及投放计划。随后,郎酒官微向消费者发出「品控算术题」有奖问答。郎酒亮出家底,消费者踊跃留言。8天后,谜底揭...

学龄前,比识字、算术更重要的是这三件事

“为了给孩子选择一家合适的幼儿园,我曾穿梭于纽约各家幼儿园的开放日,这些幼儿员既包括主流的公立幼儿园,还包括那些遥不可及的私人幼儿园。我的目的就是想了解他们的教育理念是什么,到底厉害在哪里,看看对于我...

参加CSP-J信奥赛需要掌握数学知识

在C++语法的学习中需要储备的数学知识如下①数据类型:需要知道整数、正整数、负整数、小数、判断对错②算术运算符:加法、减法、乘法、除法、取模运算③关系表达式:大于、大于等于、小于、小...

1g米饭能做多少深蹲?今天我们来算一算

减重我们都知道3分在练,7分在吃,吃这件事情上,真的是每一口都算数。今天我们来算一笔账,1粒米饭可以做多少事情?本着认真负责的态度,今天在食物秤上称了1g米饭,是16粒。根据能量换算:100g米饭是4...

web 自动化测试,一定得掌握的 8 个核心知识点

使用cypress进行端对端测试,和其他的一些框架有一个显著不同的地方,它使用JavaScript作为编程语言。传统主流的selenium框架是支持多语言的,大多数QA会的pytho...

大话C语言:赋值运算符(c语言中赋值运算符是什么)

赋值运算符是最基本的运算符之一,用于将右侧的值或表达式的计算结果赋给左侧的变量。它是一个二元运算符,意味着它需要两个操作数:一个是目标变量(左侧),另一个是要赋给该变量的值或表达式(右侧)。赋值运算符...

Vue进阶(幺幺伍):js 将字符串转换为boolean

Boolean();参数为0、null和无参数返回false,有参数返回true。Boolean("");//输出为:falseBoolean(null);//输出为...

mongodb查询的语法(大于,小于,大于或等于,小于或等于等等)

1).大于,小于,大于或等于,小于或等于$gt:大于$lt:小于$gte:大于或等于$lte:小于或等于例子:db.collection.find({"field":{$gt:valu...

Python学不会来打我(21)python表达式知识点汇总

在Python中,表达式是由变量、运算符、函数调用等组合而成的语句,用于产生值或执行特定操作。以下是对Python中常见表达式的详细讲解:1.1算术表达式涉及数学运算的表达式。例如:a=5b...

C|数据存储地址与字节偏移、数据索引

话说C是面向内存的编程语言。数据要能存得进去,取得出来,且要考虑效率。不管是顺序存储还是链式存储,其寻址方式总是很重要。顺序存储是连续存储。同质结构的数组通过其索引表示位置偏移,异质结构的结构体通过其...

下班后累懵?4 个 JS 手写题帮你搞定前端面试高频考点

打工人下班后最痛苦的事,莫过于拖着疲惫的身子还要啃前端面试题吧?看着那些密密麻麻的JS代码,脑子都快转不动了!别担心,今天咱就用轻松的方式,带你吃透4道高频手写题,让你在面试时自信满满,再也不...

嵌入式数据库sqlite3【进阶篇】-子句和函数的使用,小白一文入门

sqlite在《嵌入式数据库sqlite3命令操作基础篇-增删改查,小白一文入门》一文中讲解了如何实现sqlite3的基本操作增删改查,本文介绍一些其他复杂一点的操作。比如where、orderby...

前缀表达式与后缀表达式(前缀表达式后缀表达式中缀表达式计算)

昨天晚上和儿子一起学习了前缀表达式和后缀表达式。这应该是字符串算式如何被计算机识别并计算的2种方法。本来是想先给他讲一个逆波兰式(后缀表达式),以后再讲前缀表达式。没想到他还挺聪明,很快就把2个都掌握...

Python快速入门教程1:基本语法、数据类型、运算符、数字字符串

Python3的基础教程,涵盖了基本语法、数据类型、类型转换、解释器、注释、运算符、数字和字符串等内容,并附有使用实例场景。Python3的基础教程,涵盖了基本语法、数据类型、类型转换、解释器、注释、...