Injection de scripts exécutables dans les graphiques vectoriels
La spécification du format SVG permet d'inclure des balises script directement au cœur de la structure graphique de l'image. Les cybercriminels dissimulent du code malveillant dans le corps du fichier : lors de la tentative de visualisation du document joint, le navigateur exécute le script qui télécharge un trojan dropper ou affiche un faux formulaire de connexion.
Mesures de protection contre les scripts cachés dans les graphiques
- Bloquer l'ouverture automatique des fichiers portant l'extension .svg par le navigateur web par défaut.
- Configurer les filtres de messagerie personnels et professionnels pour mettre en quarantaine les pièces jointes vectorielles.
- Ne jamais ouvrir par un double-clic les logos et graphiques au format SVG reçus de tiers.
- Vérifier le code source du fichier à l'aide d'un simple éditeur de texte pour détecter d'éventuelles balises JavaScript.