Di Rikesh Vekaria, Marcin Ulikowski e il team di ricerca sulle minacce di Mimecast
Rikesh Vekaria, Marcin Ulikowski e i ricercatori di Mimecast specializzati in minacce informatiche hanno recentemente individuato diverse campagne che utilizzano allegati in formato Scalable Vector Graphics (SVG) nell’ambito di attacchi di phishing finalizzati al furto di credenziali. SVG è un formato immagine basato su XML che supporta il JavaScript incorporato. Ciò consente, ad esempio, l’interattività & e delle animazioni, la gestione degli eventi e la manipolazione del DOM tramite script incorporati. Gli autori delle minacce stanno sfruttando le funzionalità del formato SVG per incorporare codice JavaScript dannoso nei file allegati alle e-mail; una volta aperti, tali file vengono eseguiti e reindirizzano gli utenti verso siti di phishing o, potenzialmente, scaricano malware.
Di seguito è riportato un semplice esempio che illustra come ciò possa essere utilizzato:
In passato, gli autori delle minacce hanno già utilizzato allegati HTML in modo simile per reindirizzare gli utenti verso pagine di phishing; tuttavia, questo rapido passaggio ai file SVG potrebbe indurre gli utenti a ritenere che un file immagine sia più innocuo di un allegato HTML. Inoltre, è più probabile che gli allegati in formato SVG non vengano sottoposti a controlli altrettanto rigorosi rispetto ai file HTML e ai file eseguibili. Analizzando i codici JavaScript contenuti nei file SVG, il team di ricerca ha individuato diverse tecniche di offuscamento, dalla codifica Base64 alla crittografia simmetrica, volte a eludere il rilevamento.
Sono state condotte diverse campagne che utilizzano questo metodo, una delle quali fa leva sull’esca di un messaggio vocale. Una volta che l'utente avrà aperto l'allegato, verrà reindirizzato a una pagina di accesso per poter ascoltare il messaggio vocale.
Un esempio simile reindirizza l'utente attraverso diverse fasi, a cominciare da un CAPTCHA in cui all'utente viene richiesto di interagire con la pagina. Questa tecnica continua ad essere comunemente utilizzata per eludere i sistemi di rilevamento di sicurezza.
L'utente verrà quindi reindirizzato a un'altra pagina, dove dovrà cliccare su un pulsante che apre un presunto file PDF per accedere alla pagina finale dedicata alla raccolta delle credenziali.
Tali campagne sono state rilevate all’inizio di febbraio e registrano volumi relativamente elevati. Nelle ultime due settimane abbiamo registrato oltre 2 milioni di rilevamenti, con un picco intorno al 17 e al 18 marzo.
Nelle recenti campagne abbiamo individuato diversi elementi che sono stati integrati nelle nostre capacità di rilevamento. Continuiamo a monitorare l'evoluzione delle tecniche utilizzate nei file SVG.
Globale, tutti i settori
È disponibile un nuovo messaggio vocale dall'ufficio contabilità fornitori. Si prega di ascoltarlo. È necessario intervenire: notifica importante relativa alle credenziali
Domini utilizzati nella pagina di phishing:
jihancock[.]sterliingasi[.]com
aqra[.]qdjcpol[.]ru
si3[.]kpvjzzh[.]es
testing[.]lannaathai[.]org
jutebagbd[.]com
ceimatarials[.]com
03b23e85b7de4d5389af11db025c4ee2387446d17217ac569485784d3de8b15a 27f81fc31fff3171545925224a53014644e3b3ea0a1ccec508e3a576816fa7e4 5ef2acf3419a3088fa8096f87b2a186bc06c0e9157dcbb7a57da20cf83926c19 78ea3ffd759f8404331b40b1167aec64b723ecdad43dfc807fa398bbc403b485 75a69423bf73f9ade0235d24d46b341d6d1e74e7bd8f851ee3d6f4e9462da0cd
Scopri come l’unica piattaforma di Mimecast può proteggere il tuo personale, l’intelligenza artificiale e i tuoi dati.
Unisciti alle migliaia di professionisti della sicurezza che utilizzano i nostri avvisi selezionati, le analisi degli esperti e gli IOC delle campagne per difendersi dalle minacce informatiche emergenti.
Threat Intelligence1 set 2026
Threat Intelligence27 ago 2026
