Messenger e allegati SVG: la campagna malware del 2016

Correzione del 31 ottobre 2026. Corretto il comportamento degli SVG e separato il resoconto storico della campagna dalla verifica del payload finale.

Nel novembre 2016 venne segnalata una campagna su Facebook Messenger che usava allegati SVG per attirare le vittime su pagine ingannevoli.
Le segnalazioni dell’epoca collegavano alcune catene di attacco a downloader di malware e a Locky; non ogni SVG ricevuto su Messenger era un ransomware.
SVG è un formato XML che può includere script; il fatto che sia vettoriale non implica di per sé esecuzione di codice.
Il contesto conta: un SVG aperto come documento può avere contenuti attivi, mentre l’uso come semplice immagine applica restrizioni, tra cui la disattivazione di JavaScript. Gli hacker hanno deciso di iniettare codice javascript malevolo all’interno dell’immagine SVG, trasformando questa in un link.
Il link porta gli utenti verso una copia di Youtube, che chiede di scaricare un codec sotto forma di estensione per Chrome al fine di poter visualizzare un determinato tipo di video.
Una volta installata, l’estensione prende il controllo dei messaggi Facebook e invia a tutti gli amici un messaggio simile a quello ricevuto e può far parte di una catena di distribuzione di malware. L’associazione a Locky non va attribuita automaticamente a ogni estensione della campagna.

La cronaca del 2016 riportava la rimozione delle estensioni segnalate e interventi sul filtraggio degli allegati. Non è una descrizione delle protezioni odierne di Messenger.

Come sempre la cautela nell’apertura degli allegati è d’obbligo, sopratutto se non è usuale che una determinata persona vi invii delle immagini.

MDN documenta le restrizioni degli SVG usati come immagini. In questa revisione non è stato possibile rileggere la fonte primaria originaria di tutti i passaggi della campagna: i dettagli sul payload restano segnalazioni storiche, non una catena universalmente verificata.