załącznik SVG

Załącznik SVG to plik grafiki wektorowej, mogący zawierać osadzony, potencjalnie szkodliwy kod skryptowy.

Budowa załącznika SVG i jego właściwości

Załącznik SVG jest plikiem grafiki wektorowej zapisanym jako dokument XML. W odróżnieniu od bitmap, takich jak JPEG lub PNG, nie przechowuje obrazu jako siatki pikseli, lecz opisuje kształty, ścieżki, kolory, napisy i transformacje za pomocą elementów oraz atrybutów XML. Typowym typem MIME dla tego formatu jest image/svg+xml, a standardowym rozszerzeniem nazwy pliku jest .svg. Obraz można powiększać bez typowej dla bitmap utraty ostrości, ponieważ jego wygląd jest obliczany na podstawie opisujących go danych geometrycznych.

Dokument SVG może zawierać między innymi elementy <path>, <rect>, <circle>, <text> i <image>. Format obsługuje także arkusze stylów CSS, odwołania do czcionek oraz zasobów zewnętrznych. Sama obecność takich elementów nie oznacza infekcji, ale powoduje, że załącznik SVG nie zawsze jest wyłącznie statycznym obrazem. Bezpieczna ocena wymaga sprawdzenia zarówno treści XML, jak i sposobu, w jaki dany program otwierający interpretuje plik.

Skrypt w SVG a ryzyko uruchomienia w przeglądarce

SVG może zawierać kod skryptowy w elemencie <script>, a także obsługę zdarzeń zapisaną w atrybutach, na przykład onclick lub onload. W określonych warunkach taki kod może zostać wykonany przez przeglądarkę albo inny program wyposażony w silnik renderowania SVG. Znaczenie ma sposób otwarcia pliku: bezpośrednie wyświetlenie dokumentu w karcie przeglądarki, osadzenie go w stronie przez <img>, użycie elementu <object> lub <iframe> oraz załadowanie z lokalnego systemu plików podlegają różnym ograniczeniom bezpieczeństwa.

Przeglądarki stosują politykę tego samego pochodzenia, izolację dokumentów i ograniczenia dla skryptów uruchamianych w obrazach, lecz te mechanizmy nie są powodem, aby traktować każdy plik SVG jako bezwarunkowo bezpieczny. Podatność może znajdować się w samym programie analizującym lub konwertującym SVG, a nie tylko w kodzie dokumentu. Szczególnej uwagi wymagają pliki pochodzące z poczty, komunikatorów, formularzy internetowych i nieznanych nośników. Złośliwy SVG może próbować wykorzystywać błędy parsera, przekierowywać użytkownika na inną stronę, wyświetlać fałszywe okno logowania albo pobierać dodatkowe zasoby.

Weryfikacja zawartości przed otwarciem pliku

Przed otwarciem załącznika SVG warto sprawdzić jego rzeczywisty typ, rozszerzenie i źródło. Zmiana nazwy pliku na .png lub .jpg nie konwertuje formatu i nie usuwa jego zawartości XML. W systemie Windows można wyświetlić rozszerzenia znanych typów plików, a następnie otworzyć kopię SVG w edytorze tekstu bez uruchamiania jej jako dokumentu graficznego. W treści należy zwrócić uwagę na elementy <script>, atrybuty zaczynające się od on, odwołania href i xlink:href, element <foreignObject> oraz nietypowe adresy internetowe.

Bezpieczniejszym sposobem uzyskania statycznego obrazu jest rasteryzacja SVG w aktualnym, zaufanym narzędziu, po wcześniejszej analizie pliku. Konwersja powinna odbywać się w środowisku z ograniczonym dostępem do sieci i plików użytkownika, ponieważ narzędzie konwertujące także może przetwarzać elementy zewnętrzne lub zawierać własne błędy. Nie należy otwierać podejrzanego załącznika z uprawnieniami administratora. Aktualne oprogramowanie, skaner antywirusowy oraz blokowanie automatycznego pobierania zewnętrznych zasobów zmniejszają ryzyko, ale nie zastępują oceny źródła pliku.

Postępowanie serwisowe z podejrzanym załącznikiem

Jeżeli po otwarciu SVG pojawiły się nieoczekiwane przekierowania, komunikaty o logowaniu, nowe pobrania lub nietypowe zachowanie przeglądarki, należy zamknąć kartę i odłączyć komputer od sieci, jeśli istnieje podejrzenie aktywnego ataku. Nie powinno się usuwać od razu samego pliku ani czyścić wszystkich śladów, gdy potrzebna będzie dalsza analiza. Warto zapisać nazwę załącznika, adres nadawcy, godzinę otwarcia i komunikaty programu. Skanowanie wykonuje się aktualnym narzędziem bezpieczeństwa, a w przypadku utrzymujących się objawów sprawdza się rozszerzenia przeglądarki, procesy uruchomione po otwarciu pliku oraz historię pobrań.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, w tym diagnostyką skutków otwarcia podejrzanych załączników oraz przywracaniem prawidłowego działania systemu. Podczas takiej diagnostyki można zweryfikować konfigurację przeglądarek, programy uruchamiane przy starcie, aktualizacje systemowe i stan zabezpieczeń. Sam plik SVG powinien zostać przekazany do analizy jako kopia, bez wielokrotnego otwierania go w różnych aplikacjach. Jeżeli załącznik zawierał dane firmowe albo był elementem kampanii phishingowej, należy zachować także wiadomość źródłową i jej nagłówki techniczne.