מומחי מעבדת קספרסקי מְזוּהֶה דיווג דיוג המוני עם השקעות זדוניות בפורמט SVG. לדברי החברה, התקפות כאלה מכוונות למשתמשים פרטיים וגם לארגונים ומטרתם להשיג גישה לחשבונות בשירותי גוגל ובמיקרוסופט. במרץ 2025, מספר ההתקפות מסוג זה גדל כמעט שש פעמים בהשוואה לחודש הקודם. בסך הכל, מתחילת השנה, נרשמו יותר מ- 4000 מכתבים כאלה.
פורמט SVG (גרפיקה וקטורית מדרגית) משמש לתיאור גרפיקה דו ממדית המבוססת על XML ותומך בשילוב של JavaScript ו- HTML, מה שהופך את הנוחות ליצור אלמנטים אינטראקטיביים. תכונה זו משמשת את התוקפים, ומציגים סקריפטים לקבצים המובילים למשאבי דיוג.
תסריט ההתקפה הוא כדלקמן: הקורבן מגיע עם השקעה בצורה של קובץ SVG, שהוא למעשה דף HTML. בעת פתיחת קובץ כזה בדפדפן, המשתמש רואה ממשק עם כפתור המציע "האזן לקובץ השמע". לחיצה עליו מובילה לפתיחת דף מזויף, חוזרת על חוזרת כלפי חוץ של Google Voice, שם במקום לנגן צליל, נראה כי חלון מזין את הכניסה והסיסמה. הנתונים שהוזנו יורטים על ידי התקפה.
הגרסה האלטרנטיבית של התפוצה מסווה את הקובץ עבור המסמך הדורש את החתימה. במקרה זה, SVG מכיל את JavaScript, המפנה אוטומטית את המשתמש לאתר המעתיק את דף ההרשאה של Microsoft. לאחר כניסתם לחשבון הם הופכים לזולים לתוקפים.
על פי מומחי מעבדת קספרסקי, דייגים בודקים באופן פעיל פורמטים שונים של השקעה. ביישום הנוכחי של ההתקפה באמצעות קבצי SVG, הם מסודרים בפשטות יחסית: הקוד זדוני מובנה ישירות בקובץ או משמש להפניה מחדש לדף מזויף. בעתיד מציינים מומחים, ניתן להשתמש בטכניקה כזו בהתקפות יעד מורכבות יותר.
ניהול נכסים הוא אחת המשימות החשובות ביותר בתהליך הבטחת אבטחת סייבר של כל חברה. כדי לבנות הגנה יעילה לתשתיות, יש צורך לשלוט בכל מרכיביו. צוות הטכנולוגיות החיובי משיק סדרת סמינרים מקוונים שיעזרו לכם להבין את כל המורכבות ולבחור את הגישות הנכונות לניהול נכסים*. לְהִצְטַרֵף כדי לגלות כיצד להגן על שירותים חדשים, לעקוב אחר השינויים, האינטראקציה וההשפעה שלהם על מערכות קריטיות.
בסמינר המקוון תלמד:
- מהם נכסים דיגיטליים וכמה שונה IB, IT ובעלי שירותים מסתכלים עליהם;
- כיצד חברות רוסיות מתאימות לתהליך ניהול הנכסים;
- אילו טכנולוגיות חיוביות טכנולוגיות עוזרות בניהול אפקטיבי של תשתיות.
קישור למקור https://www.securitylab.ru
