Support technique
Documentation
Connexion
Nous contacter
Accédez directement au résumé généré par l'IA de cet article de blog 
Les chercheurs de Talos ont récemment découvert une campagne de phishing qui utilise des images SVG (Scalable Vector Graphics) intégrées dans des pièces jointes HTML pour distribuer le logiciel malveillant QBot.
En fait, lorsque la victime de cette attaque reçoit et ouvre la pièce jointe d'un courriel malveillant, son navigateur décode et exécute un script intégré, ce qui entraîne l'assemblage d'une charge utile malveillante directement sur l'appareil de la victime.
La contrebande de HTML est une technique de diffusion de logiciels malveillants très trompeuse qui utilise les fonctions HTML5 et JavaScript authentiques. Les charges utiles malveillantes sont transmises sous forme de séquences cryptées dans une pièce jointe HTML ou une page web. Le code HTML malveillant est développé dans le navigateur de l'appareil cible, qui se trouve déjà à l'intérieur du pare-feu du réseau de la victime.
Les images SVG, contrairement aux images JPEG, sont vectorielles, ce qui signifie que leur taille peut être augmentée sans compromettre la qualité de l'image. Ces images sont construites avec XML, ce qui leur permet d'être facilement placées dans le HTML mentionné ci-dessus.
Lorsque le JavaScript est exécuté, il convertit une variable codée en dur contenant un saut binaire encodé en base64 en une archive ZIP et l'affiche à l'utilisateur. Pour ne pas être détecté par les antivirus, le fichier ZIP utilise un mot de passe, mais celui-ci est inclus dans l'image présentée à l'utilisateur.
Le reste de l'infection suit une chaîne d'infection similaire à celle de Qbot, en commençant par un fichier ISO contenant un fichier de raccourci, ou LNK, qui met en œuvre une chaîne aboutissant à l'implémentation de la DLL principale de Qbot. Comme la charge utile du logiciel malveillant est créée sur le navigateur de la victime, les attaquants peuvent éviter les détections de sécurité de base conçues pour filtrer tout contenu malveillant entrant dans le réseau.
L'inclusion de fichiers SVG dans la charge utile de la contrebande de HTML vise très probablement à obscurcir davantage les charges utiles malveillantes, une tactique observée dans d'autres menaces telles que les logiciels malveillants cryptographiques et PlugX. Pour protéger les systèmes contre les attaques de contrebande de HTML, il est conseillé aux utilisateurs de bloquer l'exécution de JavaScript ou de VBScript, une recommandation reprise dans les discussions sur les logiciels malveillants Linux et l'automatisation de la cybersécurité au sens large.
Les sources de cet article comprennent un article de BleepingComputer.
