SVG画像を悪用したHTMLスマグリング攻撃が発見される

Cisco Talos Intelligence Groupは12月13日(米国時間)、「HTML smugglers turn to SVG images」において、スケーラブル・ベクター・グラフィックス(SVG: Scalable Vector Graphics)画像を悪用した比較的新しいHTMLスマグリング手法が攻撃者に使われていると伝えた。HTMLスクリプトタグを含むSVG画像をエンコードしたHTML添付のフィッシングメールを発見したと報告されている。 HTML smugglers turn to SVG images HTMLスマグリングはHTTPリクエストでリモートサーバからマルウェアを取得するのではなく、HTMLとJavaScriptの正当な機能を悪用して、添付ファイルに含まれるエンコードされた悪質なコードを実行し、被害者のマシン上でペイロードを組み立てる攻撃手法とされている

[daruyanagi]

“SVG画像内に密封されたJavaScriptに悪意のあるZIPアーカイブが含まれており、エンドユーザーのデバイス上でJavaScriptによって直接マルウェアが構築される”

[fellfield]

『SVG画像内にスクリプトタグを含めることはSVGの正当な機能とされており』……たしかにXMLの仕様上は許容されるだろうけど、不正な目的以外でスクリプト書くことはなさそう。

[tattyu]

広告に埋め込まれてたら終わりだな。ネット広告はゴミ。