Vahşi doğada alışılmadık bir kimlik avı tekniği gözlenmiştir ve Docusign belgeleri gibi davranan HTML ekleri içindeki boş SVG dosyalarını gizler.
E -posta güvenlik sağlayıcısı Avanan'daki güvenlik araştırmacıları buna "boş resim" adını verdiler. Saldırının kimlik avı aktörlerinin yönlendirme URL'lerinin tespitinden kaçmasına izin verdiğini açıklıyorlar.
Potansiyel kurbanlara gönderilen kimlik avı e -postası, birçok alıcının ofis işlerinden aşina oldukları için yaygın olarak istismar edilen bir marka olan Docusign'dan bir belge olduğunu iddia ediyor.
Kurbandan "taranan havale tavsiyesi.htm" olarak adlandırılan gönderilen belgeyi gözden geçirmesi ve imzalaması istenir.
HTML dosyaları kimlik avı aktörleri arasında popülerdir, çünkü genellikle e -posta güvenlik ürünleri tarafından göz ardı edilirler ve bu nedenle hedefin gelen kutusuna ulaşma şansına sahiptirler.
Bir kurban “Tamamlanan Belgeyi Görüntüle” düğmesini tıklarsa, gerçek bir Docusign web sayfasına götürülür. Ancak, HTML ekini açmaya çalışırlarsa, 'boş görüntü' saldırısı etkinleştirilir.
HTML dosyası, kurbanı otomatik olarak kötü amaçlı URL'ye yönlendiren gömülü bir JavaScript koduyla Base64 kodlama biçimini kullanılarak kodlanan bir SVG görüntüsü içerir.
SVG görüntüsü herhangi bir grafik veya şekil içermez, bu nedenle ekranda hiçbir şey oluşturmaz. Rolü sadece kötü niyetli senaryo için bir yer tutucudur.
Base64-Obsuscated kod içeren HTML içinde SVG dosyalarının kullanımının yeni olmadığını belirtmek gerekir. Aynı teknik Malspam'da Aralık 2022'de QBOT kötü amaçlı yazılımlar sağladı.
JPG ve PNG gibi raster görüntülerin aksine, SVG'ler XML'ye dayalı vektör görüntüleridir ve HTML komut dosyası etiketleri içerebilir. Bir HTML belgesi bir OR etiketi aracılığıyla bir SVG görüntüsü görüntülendiğinde, görüntü görüntülenir ve içindeki JavaScript yürütülür.
Avanan araştırmacının tespit ettiği Docusign temalı kampanyada SVG boş. Kurban ekranlarında hiçbir şey görmez, ancak URL yönlendirme kodu hala arka planda çalışıyor.
Kullanıcılar e -postaları içinde HTML kodu ve .htm eklerini dikkatli bir şekilde ele almalıdır. Avanan ayrıca yöneticilerin onları engellemeyi düşünmesi gerektiğini önermektedir.
Saldırganlar, QBOT kötü amaçlı yazılımları Windows sistemlerine kaçırmak için SVG dosyalarını kullanır
Sahte Onlyfans Arkadaşlık Siteleri Kötüye Kullanım İngiltere Çevre Ajansı Açık yönlendirme
Devam eden Flipper Sıfır Kimlik Yardım Saldırıları Hedef InfoSec Topluluğu
Bitrat kötü amaçlı yazılım kampanyası, kimlik avı için çalıntı banka verilerini kullanır
Polonya, Rusya bağlantılı hayalet yazar hackleme grubunun saldırıları uyarıyor
Kaynak: Bleeping Computer