Les fichiers SVG, la nouvelle arme des hackers de phishing

Les cybercriminels utilisent de plus en plus de fichiers Graphiques vectoriels évolutifs (SVG) pour piéger les internautes. Le chercheur en sécurité informatique MalwareHunterTeam a partagé plusieurs exemples d’attaques de logiciels malveillants hameçonnage les plus récents basés sur des fichiers SVG.

Ce format de fichier est principalement utilisé pour créer des graphiques. Il est souvent utilisé pour les logos, les icônes et les illustrations sur le Web. SVG offre une grande flexibilité et une très bonne clarté d’image, même à des tailles très différentes. En fait, le SVG convient à toutes les résolutions d’écran. Pour les graphistes et autres professionnels de l’image, le SVG est très courant.

A lire aussi : voici les dernières fuites de données et les entreprises françaises touchées par les cyberattaques

Les différences du SVG par rapport au JPG

En général, les attaques de phishing reposent davantage sur Fichiers PNG, JPG ou PDF. Ces fichiers sont glissés dans les emails sous forme de pièces jointes. Une fois que l’internaute ouvrira la pièce jointe, le document entraînera l’installation d’un malware sur son ordinateur. C’est pourquoi vous ne devez jamais cliquer sur une pièce jointe envoyée par un expéditeur inconnu.

De plus en plus, les pièces jointes malveillantes ne sont pas des fichiers PNG ou JPG, mais des fichiers SVG. Comme le rapportent nos confrères de Ordinateur qui bipeSVG présente plusieurs avantages pour les cybercriminels. Les fichiers SVG sont images vectorielles. Contrairement aux images raster, comme JPG ou PNG, qui enregistrent chaque pixel individuellement, les SVG utilisent du code pour décrire l’image sur un ordinateur. Lorsqu’il est ouvert dans un navigateur, il générera l’image en interprétant le code.

Pour illustrer le fonctionnement d’un fichier SVG, prenons l’exemple d’un cercle bleu d’un rayon de 50 pixels. Un fichier SVG décrit ce cercle en précisant sa couleur, son rayon et sa position. En revanche, un fichier JPG doit enregistrer les informations de chaque pixel qui compose ce cercle. Ces images sont constituées de grilles de petits carrés appelés pixels. Chaque pixel a une valeur de couleur précise, et ce sont tous ces pixels qui constituent l’image complète.

Très différente du JPG et du PNG, cette méthode permet d’afficher des SVG redimensionné sans perte de qualité. De plus, les SVG sont plus légers et plus faciles à modifier. Modifiez simplement les paramètres du cercle plutôt que de manipuler chaque pixel.

SVG, un atout pour les hackers

Comme expliqué ci-dessus, SVG utilise du code pour communiquer avec l’ordinateur et décrit l’image qu’il contient. Ce code comprend « lignes, formes et textes décrits dans des formules mathématiques ». Pour les hackers, ce code est un vecteur d’attaque. Les cybercriminels peuvent en effet cacher des scripts malveillants dans le code du fichier.

Lors de l’ouverture du fichier dans un navigateur, le SVG peut conduire à l’exécution de code HTML ou Javascript. En clair, l’image SVG qui accompagne l’email peut automatiquement afficher un formulaire hameçonnage sur votre ordinateur. Ce formulaire invite évidemment la victime à fournir ses données personnelles, voire ses coordonnées bancaires.

Pour pousser l’internaute à le remplir, les pirates vont choisir un code imitant le design d’un site internet connu. En se faisant passer pour une plateforme connue pour endormir la vigilance de leurs cibles. Par exemple, les cybercriminels ont utilisé “une fausse feuille de calcul Excel” pour récupérer les informations d’identification de l’utilisateur. Une fois les données saisies, elles sont automatiquement envoyées aux serveurs distants.

Malheureusement, la plupart des antivirus ne sont pas capables de détecter les fichiers SVG contenant du code frauduleux. Les logiciels de sécurité ne prennent pas la peine d’analyser ces fichiers, généralement utilisés pour les images vectorielles. Ceux-ci passent donc sous le radar des antivirus. C’est pourquoi les hackers sont de plus en plus friands de SVG. Nous vous recommandons donc de ne jamais cliquer sur un SVG reçu par email.