SVG Smuggling: Contrabbando di Payload via Scalable Vector Graphics (T1027.017)

Per simulare SVG Smuggling in un esercizio red team occorre costruire un SVG che sia sintatticamente valido come immagine ma trasporti logica JavaScript attivabile all'apertura nel browser. La struttura base prevede l'elemento radice <svg> con namespace XML corretto e uno o più blocchi <script> che vengono eseguiti quando il file è aperto tramite navigator (non quando è renderizzato come <img>, che disabilita gli script per policy).

Un payload di assemblaggio tipico decodifica una stringa base64 embedded e la converte in un Blob con MIME application/octet-stream, poi genera un link con attributo download e ne triggera il click programmatico. In laboratorio la catena è:

1. Preparare l'eseguibile stager (es. un beacon Sliver o una DLL sideloading) e codificarlo con base64 -w0 payload.exe > payload.b64
2. Incorporare la stringa in un elemento <script> all'interno dell'SVG
3. Servire il file da un web server di staging o allegarlo a un'email di phishing simulata

Per la generazione automatizzata di SVG offuscati, SVGSmuggler (open source, disponibile su GitHub) fornisce template pronti che integrano encoding e tecniche anti-analisi come split di stringhe e concatenazione runtime. In alternativa, Maldev-Academy e HTMLSmuggler (open source) supportano output SVG-in-HTML per catene combinate T1027.006 + T1027.017.

Per la parte di phishing infrastructure, GoPhish (open source) permette di distribuire l'allegato tracciandone l'apertura, mentre evilginx3 (open source) può essere concatenato quando l'SVG funge da reindirizzatore verso una landing per credential harvesting con bypass MFA.

Sul lato offuscazione, è utile testare varianti dove il JavaScript è racchiuso in CDATA per evitare parsing prematuro dell'XML, oppure dove il payload è frammentato in più elementi <desc> o <metadata> e ricomposto a runtime. obfuscator.io (freemium) applica trasformazioni tipo string array e control flow flattening al codice JavaScript prima dell'embed.

Su Linux e macOS la superficie è ridotta perché xdg-open o Preview.app tendono a rendere l'SVG come immagine statica, ma un browser esplicitamente invocato esegue gli script. In ESXi la tecnica non ha applicazione diretta lato hypervisor ma può colpire le web console amministrative se un allegato SVG viene aperto dal browser dell'operatore.

Regola di ingaggio fondamentale: eseguire i test in ambiente isolato con browser dedicato, senza credenziali reali salvate, e documentare ogni URL contattato dal payload.

La detection di SVG Smuggling si fonda sulla correlazione temporale tra scrittura del file SVG (spesso in directory di download utente) e attività anomala successiva — esecuzione di script engine, connessioni di rete verso domini non categorizzati, o scrittura di ulteriori payload sul disco. La strategia MITRE DET0510 copre le tre piattaforme principali.

Su Windows (analytic AN1407), la telemetria di riferimento è Sysmon con configurazione che catturi EventID 11 (FileCreate) e EventID 1 (ProcessCreate). La logica di detection cerca la sequenza: creazione di un file con estensione .svg o .svgz da parte di un processo browser (chrome.exe, msedge.exe, firefox.exe), seguita entro 60 secondi dall'esecuzione di wscript.exe, mshta.exe, rundll32.exe, powershell.exe o cmd.exe con parent chain riconducibile all'utente che ha ricevuto il file. Va monitorata anche la creazione di file .svg embedded in HTML — un pattern regex che identifichi il tag <svg> all'interno di file .html scritti dal browser è un indicatore forte.

Parametri di tuning previsti da DET0510: whitelist di script engine legittimi in ambienti dev, soglie temporali configurabili, ed esclusioni per applicazioni CAD o design che manipolano SVG legittimamente.

Su Linux (analytic AN1408), le fonti sono auditd con regole su SYSCALL per open/execve, e NSM Flow per la telemetria di rete. Si osservano scritture in /tmp/ o ~/Downloads/ seguite da invocazioni di xdg-open, firefox, chromium, che a loro volta spawnano python, bash, curl o wget. Le connessioni di rete post-apertura verso IP non in reputazione sono l'indicatore di C2 iniziale.

Su macOS (analytic AN1409), la telemetria EndpointSecurity e unified log rivela SVG aperti da browser che invocano osascript, jsc (JavaScriptCore) o AppleScript, con successiva scrittura in ~/Library/LaunchAgents/ — indicatore di persistenza.

A livello di email security, il gateway dovrebbe applicare content inspection sugli allegati SVG con parsing XML: la presenza di tag <script>, event handler come onload, onclick, onerror, o riferimenti a fetch(), XMLHttpRequest, atob() è indicatore ad alta confidenza. Soluzioni come Proofpoint, Mimecast o Microsoft Defender for Office 365 (a pagamento) supportano regole custom su content type.

I falsi positivi principali derivano da tool di design (Figma export, Adobe Illustrator, Inkscape) che possono generare SVG con metadata estesi ma senza <script>. Una regola ben calibrata deve filtrare sulla presenza effettiva del tag script, non sull'estensione. Software di documentation-as-code e piattaforme e-learning che embeddano SVG interattivi sono un'altra fonte comune di rumore.

L'analisi forense di un incidente SVG Smuggling parte dal recupero del file originale e dalla ricostruzione della catena di consegna. Il primo artefatto è l'allegato o download stesso: su Windows va cercato in %USERPROFILE%\Downloads, nella cache del browser (%LOCALAPPDATA%\Microsoft\Edge\User Data\Default\Cache, Chrome\User Data\Default\Cache) e negli allegati di Outlook estratti in %LOCALAPPDATA%\Microsoft\Windows\INetCache\Content.Outlook.

L'analisi statica dell'SVG avviene con un editor di testo o con parser XML — xmllint (open source, incluso in libxml2) permette xmllint --xpath "//script" file.svg per estrarre rapidamente i blocchi script. Per SVG offuscati, CyberChef (open source, self-hostable) supporta pipeline di decode base64, URL decode, unescape JavaScript e beautify per ricostruire il payload originale. SVG-Hush (open source) è utile per confrontare la versione sanitizzata con l'originale ed evidenziare gli elementi rimossi.

Sulla timeline di esecuzione, gli artefatti chiave su Windows includono:

• Prefetch in C:\Windows\Prefetch* per script engine (WSCRIPT.EXE-, MSHTA.EXE-*) con timestamp correlati all'apertura dell'SVG
• ShimCache e AmCache (C:\Windows\AppCompat\Programs\Amcache.hve) per tracce di eseguibili droppati dal payload
• UserAssist e JumpLists per confermare l'interazione utente con il file
• Registry NTUSER.DAT\Software\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs.svg per la lista MRU degli SVG aperti
• Browser history e download history (SQLite in History per Chrome/Edge, places.sqlite per Firefox) con URL sorgente

Su Linux la timeline si ricostruisce da ~/.bash_history, dai log auditd in /var/log/audit/audit.log, dalla cronologia browser (SQLite in ~/.config/google-chrome/Default/History o ~/.mozilla/firefox/*.default/places.sqlite) e da eventuali file droppati in /tmp/. Il comando find /tmp /home -name ".svg" -newer /tmp/reference -type f* aiuta a inventariare gli SVG recenti.

Su macOS i Quarantine Events in ~/Library/Preferences/com.apple.LaunchServices.QuarantineEventsV2 registrano origine e timestamp del download con l'URL referrer. L'unified log (log show --predicate 'process == "Safari"' --last 24h) traccia le aperture. La persistenza va cercata in ~/Library/LaunchAgents/ e /Library/LaunchDaemons/.

Per il network forensics, se è disponibile una cattura PCAP l'estrazione dell'SVG dal traffico HTTP/HTTPS avviene con Wireshark (open source) via File → Export Objects → HTTP, oppure con Zeek (open source) sui log files.log e http.log correlando fuid e tx_hosts. Le connessioni post-apertura verso domini di C2 vanno pivotate su passive DNS e Certificate Transparency (crt.sh, gratuito) per identificare infrastruttura correlata.

I dati MITRE ATT&CK forniti per T1027.017 (SVG Smuggling) non associano gruppi APT, software o campagne specificamente attribuiti a questa sottotecnica. Questa assenza di attribuzione formale nel dataset non deve essere interpretata come mancanza di rilevanza operativa: la tecnica è stata inclusa nel framework proprio in risposta a un'evoluzione osservabile del panorama di phishing, dove il formato SVG è emerso come vettore di consegna crescente grazie alla combinazione di tre proprietà — capacità di eseguire JavaScript, percezione utente come formato innocuo, e frequente bypass dei filtri email che privilegiano ispezione di .exe, .doc, .xls e archivi.

Dal punto di vista dell'analisi di intelligence, la mancanza di attribuzione strutturata nel dataset MITRE suggerisce che la tecnica sia adottata trasversalmente da attori di diversa natura — cybercrime finanziariamente motivato, operatori di phishing-as-a-service, e in misura minore attori state-sponsored per fasi di initial access. La produzione di intelligence utile per il proprio contesto richiede quindi di monitorare feed OSINT e report di vendor che tracciano campagne di consegna, correlando gli IOC (hash SVG, domini di landing, pattern JavaScript ricorrenti) con TTP osservate internamente.

Sul piano dei trend osservabili, la sottotecnica è spesso concatenata con T1027.006 (HTML Smuggling) in kill chain che iniziano con T1566.001 (Spearphishing Attachment) o T1566.002 (Spearphishing Link) e proseguono verso T1204.002 (User Execution: Malicious File). Il payload finale può appartenere a diverse famiglie — loader, information stealer, RAT — a seconda dell'attore. Questa multiplicità di catene downstream rende T1027.017 un indicatore di stadio precoce piuttosto che un elemento di attribuzione.

Per un programma di threat intelligence maturo il valore aggiunto sta nel hunting proattivo su piattaforme come VirusTotal Intelligence (a pagamento) o Hybrid Analysis (freemium) con query mirate a SVG contenenti pattern come atob(, Blob(, document.write, window.location. Il triage di questi sample permette di estrarre infrastruttura C2 emergente e alimentare feed interni di IOC prima che la campagna raggiunga volume massivo.

A livello di priorità di mitigazione per un CISO, il rischio va calibrato sulla superficie: organizzazioni con largo uso di email B2B in settori come legal, finance, HR e procurement — dove allegati grafici sono ricevuti quotidianamente — presentano esposizione elevata. La combinazione di content disarm and reconstruction (CDR) sul gateway email, sandboxing degli allegati per formati XML-based, e regole EDR allineate a DET0510 costituisce la baseline difensiva. Programmi di security awareness dovrebbero includere esempi specifici di allegati SVG malevoli, ancora largamente sconosciuti agli utenti finali.

MITRE ATT&CK: T1027.017 (SVG Smuggling), tattica TA0005, mitigazione M1048, strategia di detection DET0510 con analytic AN1407 (Windows), AN1408 (Linux), AN1409 (macOS). MITRE D3FEND per artefatti e contromisure defensive. Sottotecniche correlate citate: T1027.006, T1566.001, T1566.002, T1204.002. Le sezioni operative integrano conoscenza professionale su tool (Sysmon, auditd, Zeek, Wireshark, CyberChef, xmllint, SVG-Hush, GoPhish, SVGSmuggler, obfuscator.io) e artefatti forensi standard di Windows, Linux e macOS.