Una campagna di phishing di due mesi ha utilizzato allegati SVG camuffati da notifiche di segreteria telefonica per veicolare JavaScript offuscato, eludendo i filtri antispam nativi. La tecnica, denominata "SVG Smuggling", ha raggiunto migliaia di organizzazioni.
Una sofisticata campagna di phishing, protrattasi per circa due mesi tra giugno e agosto 2026, ha impiegato una tecnica innovativa per aggirare le difese di posta elettronica aziendale. Gli attaccanti hanno sfruttato allegati in formato Scalable Vector Graphics (SVG), presentati agli utenti come notifiche di messaggi vocali interni, per veicolare codice dannoso offuscato. L'azienda di sicurezza email INKY, parte di Kaseya, ha rilevato e analizzato questa minaccia, identificando oltre 26.500 messaggi distribuiti a più di 5.500 organizzazioni.
La campagna si è distinta per l'uso di allegati SVG, un formato grafico vettoriale solitamente impiegato per loghi e icone, ma che ha la capacità intrinseca di incorporare codice JavaScript. Gli attaccanti hanno abilmente mascherato questi file, utilizzando nomi che richiamavano le tipiche notifiche di segreteria telefonica e impostando il tipo MIME dell'allegato su text/plain anziché image/svg+xml. Questa mossa ha ingannato i sistemi di scansione meno sofisticati, che hanno trattato gli allegati come semplici file di testo innocui, ignorando il potenziale contenuto eseguibile.
Una volta aperto, il codice JavaScript nascosto all'interno del file SVG veniva ricostruito a runtime e tentava di contattare un endpoint remoto per scaricare ulteriori payload o eseguire azioni dannose. Per rendere l'analisi statica del codice più ardua, gli aggressori hanno fatto ricorso a tecniche di esecuzione differita e iniezione di script in fase di esecuzione.
L'analisi condotta da INKY ha rivelato che la campagna non mostrava segni di targeting di precisione. La maggior parte delle organizzazioni ha ricevuto un numero limitato di messaggi, con una distribuzione ampia e non focalizzata. Il 32% delle organizzazioni ha ricevuto un solo messaggio, mentre le 10 più colpite hanno rappresentato solo il 6% del volume totale. Questo suggerisce una strategia di "spray and pray", ovvero un invio massivo di email nella speranza che un numero sufficiente di destinatari abbocchi.
Il pretesto utilizzato era particolarmente efficace: le email si spacciavano per notifiche di segreteria telefonica interne. Il 99,5% dei messaggi includeva nella riga dell'oggetto la parte locale dell'indirizzo email del destinatario, aumentando la percezione di autenticità. Inoltre, il 95% delle email sembrava provenire dal dominio dell'organizzazione ricevente, pur essendo inviate da mittenti esterni non autenticati, sfruttando tecniche di spoofing interno.
Un aspetto critico di questa campagna è stata la sua capacità di eludere i filtri antispam nativi. La maggior parte dei messaggi (il 75%) ha ricevuto un punteggio di confidenza spam (SCL) di 0 o 1 da parte di Microsoft, indicando che non venivano considerati spam. Solo il 18% dei messaggi è stato classificato con un SCL di 5, un livello che solitamente indica spam. INKY ha osservato che lo stesso messaggio poteva ricevere valutazioni diverse a seconda della casella di posta ricevente, evidenziando la complessità nel bloccare tali minacce in modo uniforme.
La combinazione di un pretesto familiare (voicemail), un formato di allegato apparentemente innocuo (SVG), la personalizzazione specifica del destinatario e l'impersonificazione di un mittente interno ha creato un attacco socialmente ingegnerizzato molto convincente. L'allegato SVG ha agito da ponte tra questi elementi di ingegneria sociale e il contenuto eseguibile nel browser dell'utente.
Sebbene la campagna non abbia mostrato un elevato grado di sofisticazione nel targeting, la sua ampia diffusione e la capacità di eludere le difese standard la rendono una minaccia significativa. L'uso di SVG per veicolare JavaScript non è una novità assoluta, ma questa campagna ne ha dimostrato l'efficacia su larga scala. Le organizzazioni dovrebbero rafforzare le proprie difese email, non solo basandosi sui filtri antispam nativi, ma implementando soluzioni di sicurezza più avanzate in grado di analizzare il contenuto degli allegati e rilevare comportamenti sospetti, anche quando mascherati da formati comuni. La formazione degli utenti sulla consapevolezza del phishing rimane fondamentale per riconoscere e segnalare email potenzialmente dannose.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
