เมื่อภาพไม่เป็นอย่างที่เห็น: กลลวง SVG Smuggling ที่ต้องระวัง

โลกไซเบอร์เต็มไปด้วยกลอุบายที่ซับซ้อน มิจฉาชีพหาวิธีใหม่ ๆ ในการแทรกซึมระบบและหลอกล่อผู้ใช้งานอยู่เสมอ บางครั้งภัยคุกคามก็มาในรูปแบบที่เราคาดไม่ถึง อย่างไฟล์ภาพที่เราคิดว่าปลอดภัย แต่จริง ๆ แล้วกลับซ่อนอาวุธร้ายไว้เบื้องหลัง กลไกที่เรียกว่า SVG Smuggling คือตัวอย่างที่น่าสนใจ

SVG Smuggling คืออะไรกันแน่?

SVG หรือ Scalable Vector Graphics เป็นไฟล์ภาพที่ได้รับความนิยมอย่างมาก เพราะมีขนาดเล็ก ยืดหยุ่น และคุณภาพไม่ลดลงเมื่อปรับขนาด สิ่งที่เป็นพิเศษและอันตรายของ SVG คือมันไม่ใช่แค่ภาพนิ่ง แต่เป็นไฟล์ XML ที่สามารถฝังโค้ด JavaScript ลงไปได้

ลองนึกภาพการซ่อนของสำคัญในของตกแต่ง นั่นคือคอนเซ็ปต์ของ SVG Smuggling มันคือเทคนิคที่อาชญากรไซเบอร์ใช้ ไฟล์ภาพ SVG เป็นพาหะในการส่งมอบ payload เพื่อหลบเลี่ยงการตรวจจับจากระบบรักษาความปลอดภัย

กลไกการทำงานของ SVG Smuggling

เทคนิคนี้อาศัยความสามารถของ SVG ที่สามารถรันสคริปต์ได้ โดยมีขั้นตอนหลักๆ ดังนี้

แปลง Payload เป็น Data URI: ก่อนอื่น payload ที่ต้องการส่ง เช่น ไฟล์ .hta, .msi หรือไฟล์อื่น ๆ จะถูกเข้ารหัสในรูปแบบ Base64 จากนั้นนำไปใส่ในรูปแบบที่เรียกว่า Data URI
ฝังใน SVG ด้วย JavaScript: โค้ด JavaScript ในไฟล์ SVG จะถูกเขียนขึ้นเพื่อสร้าง anchor (แท็ก <a>) ขึ้นมาในหน่วยความจำของบราวเซอร์ Data URI ที่บรรจุ payload จะถูกกำหนดให้เป็นค่าของแอตทริบิวต์ href ของแท็ก <a> นี้
ปลอมแปลงชื่อไฟล์: อาชญากรจะใช้แอตทริบิวต์ download ในแท็ก <a> เพื่อกำหนดชื่อไฟล์ใหม่ให้กับ payload ที่จะดาวน์โหลด ตัวอย่างเช่น หาก payload คือสคริปต์อันตราย ระบบจะกำหนดชื่อให้ดูเหมือนไฟล์เอกสารปกติ เช่น invoice.hta หลอกผู้ใช้
เรียกใช้งานอัตโนมัติ: เมื่อไฟล์ SVG ถูกเปิดในบราวเซอร์ โค้ด JavaScript ที่ซ่อนอยู่จะทำงาน และบราวเซอร์จะถูกสั่งให้ “คลิก” แท็ก <a> ที่สร้างขึ้นมาโดยอัตโนมัติ ส่งผลให้ไฟล์อันตรายถูกดาวน์โหลดลงเครื่องของผู้ใช้งานทันที โดยที่ผู้ใช้อาจไม่ทันรู้ตัว

ทำไม SVG Smuggling ถึงเป็นภัยเงียบ?

เทคนิคนี้มีความอันตรายและน่าเป็นห่วงด้วยเหตุผลหลายประการ

หลบเลี่ยงการตรวจจับ: ระบบคัดกรองอีเมลหรือเว็บเซิร์ฟเวอร์มักจะมองว่าไฟล์ SVG เป็นเพียงไฟล์รูปภาพที่ปลอดภัย ทำให้ผ่านด่านเข้ามาได้ง่าย
ซ่อนเร้น payloads: Payload ไม่ได้ถูกส่งมาในรูปแบบไฟล์ตรงๆ แต่ถูกฝังในโค้ด ทำให้ Antivirus หรือ EDR ตรวจจับได้ยากขึ้น
ใช้ประโยชน์จากความเชื่อใจ: ผู้ใช้งานเห็นไฟล์รูปภาพ ก็มักจะเชื่อใจและไม่ระแวง ยิ่งเมื่อถูกหลอกให้ดาวน์โหลดไฟล์ด้วยชื่อที่ดูปกติ ก็ยิ่งทำให้ตกเป็นเหยื่อได้ง่าย

การป้องกันและรับมือกับ SVG Smuggling

เพื่อลดความเสี่ยงจากการโจมตีด้วยเทคนิคนี้ มีข้อควรปฏิบัติที่สำคัญดังนี้

ระมัดระวังการดาวน์โหลด: ตรวจสอบแหล่งที่มาของไฟล์เสมอ หากมีข้อสงสัย ไม่ควรดาวน์โหลดหรือเปิดไฟล์นั้นโดยเด็ดขาด โดยเฉพาะไฟล์ที่ถูกเสนอให้ดาวน์โหลดอัตโนมัติหลังเปิดหน้าเว็บ
กำหนดนโยบายความปลอดภัย: สำหรับองค์กร ควรตั้งค่า Content Security Policy (CSP) เพื่อจำกัดแหล่งที่มาของสคริปต์และทรัพยากรที่สามารถโหลดได้
สแกนไฟล์อย่างละเอียด: ใช้ระบบป้องกันที่สแกนไฟล์ SVG เพื่อหาโค้ด JavaScript หรือ Data URI ที่น่าสงสัย
อัปเดตระบบอยู่เสมอ: การอัปเดตบราวเซอร์และระบบปฏิบัติการให้เป็นเวอร์ชันล่าสุด จะช่วยแก้ไขช่องโหว่ที่อาจถูกใช้เป็นช่องทางในการโจมตี

โลกไซเบอร์มีการพัฒนาไปอย่างรวดเร็ว อาชญากรไซเบอร์หาวิธีใหม่ๆ ในการหลีกเลี่ยงการป้องกันและเข้าถึงเป้าหมายได้เสมอ การทำความเข้าใจกลไก SVG Smuggling จึงจำเป็น เพื่อให้สามารถรู้เท่าทัน และเตรียมพร้อมรับมือกับภัยคุกคามในรูปแบบที่ไม่คาดคิด