Злоумышленники распространяют вредоносное ПО через «пустые» изображения

Исследователи ИБ-компании Avanan (Check Point Software) обнаружили , что хакеры научились обходить службу VirusTotal и корпоративные антивирусы, внедряя вредоносное ПО в пустые изображения формата SVG, помещенные в HTML файлы, затем отправляемые как вложения в электронных письмах.

Атака — The Blank Image Attack

Вектор атаки: Электронная почта
Тип: Вредоносное ПО
Техники: Социальная инженерия, пустое изображение SVG, перенаправление HTML
Цель: Любой конечный пользователь
Описание: При этой атаке хакеры помещают пустые изображения в HTML-вложения. При открытии вложения пользователь автоматически перенаправляется на вредоносный URL.

Фишинговая атака начинается с того, что пользователю приходит уведомление о том, что ему отправлен документ через сервис управления электронными документами DocuSign. Письмо выглядит вполне обычно и может побудить пользователя к действию. Документ отправляется непосредственно пользователю, и его просят просмотреть и подписать документ. Ссылка ведет на настоящую страницу DocuSign и в ней нет ничего подозрительного.

Загвоздка в том, что внизу письма находится вложение HTM. Если пользователь решит посмотреть вложение и  открыть его, то начинается цепочка заражения.

В HTML файле содержится изображение формата SVG, зашифрованное Base64

Декодированный файл содержит редирект через javascript на сайт с вредоносным ПО

Хакеры помещают пустые изображения в HTML-вложения. Вложение содержит закодированное SVG-изображение, которое содержит JavaScript-код, перенаправляющий на вредоносный URL-адрес, на котором далее происходит заражение компьютера пользователя. При открытии вложения пользователь сразу автоматически перенаправляется на вредоносный веб-адрес.

Выводы

Новый вид атаки расширяет методы заражения через вложения HTML. Она добавляет еще один уровень сложности к вредоносным HTML-вложениям, который шифрует URL-адрес, чтобы обойти анализ ссылок, и перенаправляет на взломанный домен в публичном Интернете, содержащий вредоносное ПО.

Это инновационный способ скрыть истинное намерение сообщения, который обходит VirusTotal и даже не проверяется традиционной защитой Click-Time Protection. Пока большинство служб безопасности и антивирусов не могут распознать данный вид атаки.

Как защититься. Рекомендации

Чтобы защититься от этих атак, специалисты по безопасности могут сделать следующее:
1. Чтобы не стать жертвой таких атак, пользователям рекомендуется с осторожностью относиться к любым письмам, содержащим вложения в формате HTML или HTM.
2. Администраторы должны рассмотреть возможность блокирования всех вложений HTML и относиться к ним так же, как к исполняемым файлам (.exe, .cab).