PELIGROS OCULTOS EN LOS ARCHIVOS SVG

Los archivos SVG ofrecen ventajas para el diseño web por su escalabilidad y compatibilidad, pero también pueden ser utilizados como vector de ataque. Aunque aparentan ser simples imágenes, contienen código que puede ser manipulado con fines maliciosos para robar credenciales u otros datos sensibles. Por ello, en los últimos años se ha observado un aumento en su uso dentro de campañas cibercriminales, incluidas aquellas que afectan a Latinoamérica.

¿Qué son los archivos SVG?
Un archivo SVG (Scalable Vector Graphics) es un formato de imagen basado en vectores que almacena instrucciones matemáticas en lugar de píxeles, lo que permite que sea liviano, totalmente escalable sin pérdida de calidad y editable como código. Es compatible con los navegadores modernos y se utiliza comúnmente en logos, íconos, botones, gráficos interactivos e interfaces adaptables a distintos tamaños de pantalla.

¿Por qué pueden ser peligrosos?
Al estar basados en XML, permiten incluir código incrustado. Aunque no todos representan un riesgo, los atacantes pueden modificarlos para ocultar contenido malicioso, aprovechando que algunas soluciones de seguridad aún los tratan como simples imágenes y no inspeccionan su contenido interno. Esto facilita su uso en campañas de phishing, donde se adjuntan SVG que simulan ser imágenes o documentos legítimos, pero que en realidad ejecutan redirecciones, cargan contenido malicioso o muestran formularios falsos para robar credenciales.

¿A qué se debe el aumento en su uso para distribuir malware?
Hay factores que hacen que los archivos SVG sean utilizados por los cibercriminales:

• Apariencia: a simple vista parecen imágenes legítimas y pueden evadir filtros básicos.
• Compatibilidad: casi todos los navegadores modernos pueden abrirlos.
• Flexibilidad: pueden contener, entre otras cosas, HTML y JavaScript si el entorno lo permite.

Además, la aparición de plataformas de Phishing as a Service (PaaS) facilitó que atacantes sin conocimientos técnicos puedan lanzar campañas maliciosas utilizando distintos vectores, incluidos archivos SVG manipulados. Esto volvió estas técnicas más accesibles y por ende más frecuentes.

¿Cómo operan los SVG maliciosos?

• Inyección de código: el atacante modifica el SVG para que ejecute órdenes al abrirlo y redirigir a la víctima a páginas de phishing, robar información del navegador o iniciar la descarga de malware adicional.
• Disfraz ideal: se presenta como una imagen o documento (factura.svg, pagopendiente.svg), con una vista previa realista, pero que esconde instrucciones maliciosas en su estructura. Así evade filtros básicos de correo y de sistemas, que lo tratan como una imagen inofensiva.
• Ejecución silenciosa: como los SVG son compatibles con la mayoría de los navegadores modernos, el usuario puede abrirlos sin advertencias. En muchos casos, el navegador interpreta el código interno del archivo, lo que facilita la activación del ataque.

Herramientas y buenas prácticas
Aunque los archivos SVG parecen imágenes inofensivas, su capacidad de incluir código los convierte en un vector atractivo para ataques. Para reducir riesgos, se recomiendan las siguientes prácticas:

1. Sospechar: Los SVG no suelen usarse para documentos comerciales; archivos con nombres como factura.svg o pago.svg deben considerarse potencialmente maliciosos.
2. Verificar: Revisar siempre el remitente y el contexto del envío. Si el archivo no era esperado o el mensaje resulta extraño, evitar abrirlo.
3. Analizar: Utilizar soluciones de seguridad que inspeccionen SVG y detecten código malicioso o redirecciones sospechosas.
4. No abrir directamente: Evitar abrir SVG en el navegador, ya que este interpreta automáticamente contenido incrustado como scripts.
5. Prestar atención al tamaño: Un SVG legítimo suele ser liviano; tamaños inusualmente grandes pueden indicar contenido oculto.
6. Actualizar: Mantener navegadores y sistemas operativos al día para reducir el riesgo de explotación de vulnerabilidades.
7. Bloquear: En entornos corporativos, bloquear o restringir adjuntos SVG en el correo es una medida preventiva efectiva.

Fuente: https://www.welivesecurity.com/es/seguridad-digital/archivos-svg-que-son...