Получают ли Ваши сотрудники файлы SVG?
ЛК представили небольшой обзор злоупотребления SVG.
SVG (Scalable Vector Graphics) формат описания графики в xml, который позволяет встраивать скрипты JS и теги HTML
SVG используются для доставки следующего этапа при использовании техники SVG-Smuggling (poc) или для перенаправления жертвы на следующий ресурс (пример)
🔭 Обнаружение:
🔤 Создание svg-файлов в директориях пользователя
ProviderName="Microsoft-Windows-Sysmon" and EventId = 11 and TargetFilename = "?:\Users\.*\.svg"
🔤 Детект на основе ADS NTFS
ProviderName="Microsoft-Windows-Sysmon" and EventId = 15 and TargetFilename endswith ".svg:Zone.Identifier" and Contents=".*ZoneId=3.*"
🔤 Мониторить создание процессов у которых в аргументах содержится
".*svg\s.*"#detection@detectioneasy
#ttp@detectioneasy