Suporte Técnico
Documentação
Entrar
Entre em contato conosco
Vá direto para um resumo gerado por IA desta postagem do blog 
Pesquisadores da Talos descobriram recentemente uma campanha de phishing que utiliza imagens em formato Scalable Vector Graphics (SVG) incorporadas em anexos de e-mail em HTML para distribuir o malware QBot.
Basicamente, quando a vítima desse ataque recebe e abre o anexo malicioso do e-mail, seu navegador decodifica e executa um script incorporado, o que resulta na instalação de uma carga maliciosa diretamente no dispositivo da vítima.
O “contrabando de HTML” é uma técnica altamente enganosa de distribuição de malware que utiliza recursos genuínos do HTML5 e do JavaScript. As cargas maliciosas são transmitidas na forma de sequências criptografadas em um anexo HTML ou em uma página da web. O código HTML malicioso é executado dentro do navegador no dispositivo alvo, que já se encontra dentro do firewall corporativo da rede da vítima.
As imagens SVG, ao contrário das imagens JPEG, são baseadas em vetores, o que significa que seu tamanho pode ser aumentado sem comprometer a qualidade da imagem. Essas imagens são criadas em XML, o que permite que sejam facilmente inseridas no código HTML mencionado acima.
Quando o JavaScript é executado, ele converte uma variável codificada de forma rígida — que contém um bloco binário codificado em base64 — em um arquivo ZIP e o exibe ao usuário. Para não ser detectado pelo antivírus, o arquivo ZIP utiliza uma senha, mas essa senha está incluída na imagem apresentada ao usuário.
O restante do processo de infecção segue uma cadeia de infecção semelhante à do malware Qbot, começando com um arquivo ISO que contém um atalho, ou arquivo LNK, o qual aciona uma cadeia que culmina na execução da DLL principal do Qbot. Como a carga útil do malware é criada no navegador da vítima, os invasores conseguem contornar as detecções básicas de segurança destinadas a filtrar qualquer conteúdo malicioso que entre na rede.
A inclusão de arquivos SVG na carga maliciosa do “HTML smuggling” tem, muito provavelmente, o objetivo de ofuscar ainda mais as cargas maliciosas — uma tática observada em outras ameaças, como o malware de criptografia e o PlugX —, aumentando assim a probabilidade de detecção. Para proteger os sistemas contra ataques de “HTML smuggling”, recomenda-se aos usuários que bloqueiem a execução de JavaScript ou VBScript, recomendação que também é reiterada em discussões sobre malware para Linux e sobre a automação mais ampla da segurança cibernética.
As fontes utilizadas neste artigo incluem uma matéria publicada no BleepingComputer.
