Wie VirusTotal eine getarnte Phishing-Kampagne entlarvte – und warum „harmlos aussehende“ Bilder plötzlich brandgefährlich sind

Ein unscheinbares Bildformat steht im Zentrum einer raffinierten Angriffswelle: Scalable Vector Graphics, kurz SVG, werden von Angreifern seit Monaten gezielt missbraucht, um hochglaubwürdige Phishing-Oberflächen und Schadcode zu verstecken. Am 6. September 2025 wurde dieser Trend eindrucksvoll bestätigt: VirusTotal meldete die Aufdeckung einer bislang unentdeckten Kampagne, die sich als Portal der kolumbianischen Justiz ausgab, den Nutzer mit einer täuschend echten Download-Maske unter Druck setzte und im Hintergrund eine passwortgeschützte ZIP-Datei nachlud – alles ausgelöst durch das bloße Rendern einer SVG-Datei im Browser. Entscheidend: Das erste SVG wies bei Einreichung „0/63“ Erkennungen durch klassische AV-Engines auf; erst die neu aktivierte SVG-Unterstützung von VirusTotals „Code Insight“ gab den Ausschlag. Eine anschließende Rückblicksuche („Retrohunt“) fand 44 eindeutige, ebenfalls unentdeckte Varianten derselben Masche und insgesamt 523 einschlägige SVGs seit dem 14. August 2025. Diese Zahlen und die forensischen Details zeigen: SVG-Phishing hat sich von einer Spezialtaktik zum Massenphänomen entwickelt – und es trifft längst nicht nur Kolumbien, sondern weltweit Unternehmen, Behörden und Privatnutzer.

Warum ausgerechnet SVG? Ein Bildformat als Code-Träger – und perfekte Tarnung

SVG ist kein Pixelbild wie JPG oder PNG, sondern ein XML-Dokument, das Vektorgrafik-Elemente und – entscheidend für Angreifer – auch HTML-Fragmente und JavaScript enthalten kann. Moderne Browser öffnen solche Dateien per Doppelklick ohne Rückfrage. Genau darin liegt das Risiko: Integrierte <script>-Blöcke, onload-Handler, <foreignObject> zum Einbetten von HTML und großvolumige, Base64-codierte Datablocks sind vollkommen legitime Bestandteile – und werden von klassischen E-Mail-Filtern häufig gar nicht oder nur oberflächlich analysiert. MITRE hat diese Realität im April 2025 mit der Sub-Technique T1027.017 „SVG Smuggling“ offiziell in ATT&CK verankert: Demnach werden scheinbar harmlose SVGs als Träger genutzt, um Payloads zusammenzusetzen, nachzuladen, zu weiterzuleiten oder interaktive Phishing-Oberflächen direkt im Client zu rendern. Die Verteidiger stehen dabei vor drei Problemklassen: Erstens wird SVG fälschlich als „nur Bild“ einsortiert und durchgelassen; zweitens entfaltet sich der schädliche Effekt erst beim Rendern im Browser („Client-Side-Deobfuscation“) und entzieht sich so statischer Analyse; drittens variieren Angreifer den Code durch Polymorphie und „Junk Code“, sodass Signaturen ins Leere laufen. Genau diese drei Faktoren machten die jetzt bekannt gewordene Kampagne so effektiv.

So lief die entdeckte Kampagne ab: Hochglanz-Portal, gefälschter Fortschrittsbalken, ZIP-Download – und DLL-Sideloading

Die von VirusTotal analysierten Dateien wirkten auf den ersten Blick wie echte Web-Portale kolumbianischer Justizbehörden, komplett mit Aktenzeichen, Sicherheitsmerkmalen und optisch sauberem Layout. Sobald der Nutzer das vermeintliche Dokument „abruft“, startet im Browser eine perfekt animierte Download-Sequenz. Im Hintergrund entschlüsselt JavaScript eine zweite, sehr große Base64-Sequenz – eine passwortgeschützte ZIP-Datei – und stößt den Download an; das Passwort wird offensiv im Pseudo-Portal angezeigt, um den Nutzer zur Extraktion zu bewegen. In mindestens einem von BleepingComputer untersuchten Fall enthielt das Archiv eine legitime, signierte Browser-Binärdatei (Comodo Dragon), die unverdächtig als „amtliches Dokument“ umbenannt war, daneben eine präparierte DLL und weitere verschlüsselte Beilagen. Öffnet der Nutzer die scheinbar legitime EXE, lädt sie aufgrund der Windows-DLL-Suchreihenfolge die bösartige Bibliothek nach („DLL-Sideloading“) – der eigentliche Infektionsschritt. Dieses Verfahren verschafft den Angreifern gleich mehrere Vorteile: Das Archiv ist passwortgeschützt und entzieht sich Inhalts-Scannern; die legitime EXE täuscht Reputation und Signaturprüfung; die eigentliche Schadfunktion versteckt sich in einer unauffälligen DLL; und die gesamte Kette wirkt aus Anwendersicht wie ein normales Behörden-Downloadverfahren.

Forensik, Indikatoren und Beweisführung: Von 44 Null-Treffern zu 523 Funden – und verräterische Kommentare im Code

Bemerkenswert an VirusTotals Bericht ist, wie schnell aus einer einzelnen, durch Code-Insight auffällig gewordenen Datei ein ganzer Kampagnen-Strang wurde. Die Plattform konnte innerhalb der eigenen Datenbasis nach übereinstimmenden AI-Beschreibungen suchen und identifizierte 44 eindeutige Varianten mit weiterhin null AV-Detektionen. Eine einfache YARA-Regel, abgeleitet aus wiederkehrenden spanischsprachigen Entwickler-Kommentaren im obfuskierten Script (unter anderem „POLIFORMISMO_MASIVO_SEGURO“ und Hinweise auf „dummy“-Funktionen), lieferte in einer Jahres-Retrospektive 523 Treffer. Interessant ist auch die Evolution der Samples: Frühere Dateien waren bis zu 25 MB groß und wurden mit der Zeit kleiner – ein Indiz für aggressivere Obfuskation und iteratives Feintuning der Täter. Mehr noch: Die überwiegende Mehrzahl der Samples kam über E-Mail-Zustellungen; Metadaten wie Absender, Betreff und Anhangsnamen zeichnen das Bild eines systematischen, regional verankerten Phishings mit juristischem Themenfokus.

„Shadow Vector“ & Co.: Die größere Lage hinter dem Fall – globale SVG-Phishing-Trends 2024/2025

Die VirusTotal-Enthüllung steht nicht isoliert. Bereits im Frühjahr und Sommer 2025 beschrieben mehrere Sicherheitsanbieter gezielte SVG-Missbrauchsserien: Acronis TRU dokumentierte eine laufende, auf Kolumbien fokussierte Kampagne unter dem Namen „Shadow Vector“, die arbeitsrechtliche und gerichtliche Themen missbrauchte, passwortgeschützte Archive verteilte, Bitbucket/Discord/YDRAY als Zwischenstationen nutzte und per DLL-Sideloading u. a. AsyncRAT oder RemcosRAT nachlud – inklusive UAC-Bypass, Prozess-Injection und Anti-Analyse-Techniken. IBM X-Force berichtete parallel von einer weltweiten Serie gegen Finanzinstitute, bei der SVG-JavaScript zunächst ZIP oder JAR nachschob und modulare Java-RATs wie Blue Banana, SambaSpy, SessionBot und später auch STRRAT platzierte; Steuerung und Exfiltration liefen über Amazon S3 und Telegram-Bots, also über scheinbar „legitime“ Infrastruktur. Cloudflares Cloudforce One wiederum klassifizierte drei dominante Angriffsstile: reine Redirector-SVGs mit sofortigem window.location, selbstentpackte Phishing-Seiten vollständig im SVG (Base64-HTML), sowie DOM-Injection in eingebundenen SVGs, die Formulare auslesen, Cookies abgreifen oder unsichere Portale kapern. Sophos X-Ops belegte bereits im Februar 2025, dass solche Anhänge seit Ende 2024 deutlich zulegen, häufig durch Captcha-Gates verschleiert werden und in manchen Fällen sogar die vollständige Malware als Base64-Archiv im SVG mitliefern – inklusive eines im Archiv notierten Passworts. Und auf der Messlatte für Awareness: KnowBe4 konstatierte Anfang März 2025 einen Anstieg des SVG-Anteils an bösartigen Anhängen um 245 % gegenüber Q4/2024, mit kurzzeitigen Spitzen von knapp 30 % an einem Tag. Zusammengenommen ergibt sich ein konsistentes Bild: SVG ist 2025 das wohl meistunterschätzte Einfallstor im Phishing – und Täter professionalisieren Techniken, Tooling und Infrastruktur im Monatsrhythmus.

Wie SVG-Angriffe Filter aushebeln: Fehlklassifizierung, Client-Side-Entschlüsselung, Polymorphie und „Klick-Ökonomie“

Warum fallen diese Angriffe so oft durch die Maschen? Erstens behandeln viele Gateways SVG fälschlich wie statisches Bildmaterial, prüfen höchstens MIME-Typ und Dateiendung und führen keine tiefe DOM/Script-Analyse durch. Zweitens werden wesentliche Bestandteile – vom entschlüsselten HTML bis zum ZIP – erst zur Laufzeit im Browser materialisiert; statische Scanner sehen nur harmlose Geometrien, Kommentare, Entity-Encodings oder kryptische Base64-Blöcke. Drittens setzen die Betreiber systematisch auf Polymorphie: variable Dateinamen und Betreffzeilen, zufällige Variablennamen, Rauschcode, serverseitig wechselnde JavaScript-Snippets („Backend-Polymorphie“) und per Empfänger-E-Mail individualisierte Redirect-Parameter. Viertens erhöht die Wahl bekannter Marken (Microsoft 365, DocuSign, SharePoint, SWIFT, „verpasster Anruf“/Voicemail) die Klickbereitschaft, während Captcha-Zwischenschritte automatische Kriecher fernhalten. Fünftens nutzen viele Reihen legitime Cloud-Dienste für Hosting und C2 (Cloudflare Workers, Amazon S3, Telegram Bot API), sodass Netzwerk-Reputation ins Leere läuft. Schließlich erschweren passwortgeschützte Archive die Prävention auf Gateways: Ohne Passwort sieht ein Sicherheitsprodukt den schädlichen Inhalt nicht – der Nutzer dagegen schon, weil das Passwort prominent angezeigt wird.

Praktische Gegenmaßnahmen für Unternehmen: Von „Blocken ist besser als Heilen“ bis zu belastbaren Erkennungsregeln

Die wirksamste Maßnahme ist simpel: Wenn kein legitimer Geschäftsbedarf besteht, sollten SVG-Anhänge am Gateway grundsätzlich blockiert oder durch Content-Disarm-&-Reconstruction (CDR) neutralisiert werden. Wo das nicht möglich ist, braucht es erweiterte Inspektionspipelines, die tatsächlich SVG-Inhalt parsen: Erkennung von <script>-Tags, onload/onclick, document.write, großen Base64-Feldern, atob()/Function(), foreignObject-Blöcken, versteckten Vollbild-Links (<rect fill="transparent">) und Auto-Redirects. Ergänzend sollten M365/Defender-Richtlinien für Safe Links/Safe Attachments streng gesetzt, Anti-Phishing-Policies aggressiv konfiguriert und Zero-hour Auto Purge (ZAP) aktiviert werden. Auf der E-Mail-Authentifizierungsseite gehören SPF/DKIM in strikter Ausrichtung und eine DMARC-Policy in „quarantine“ oder „reject“ in jedes Basissetup; Look-alike-Domains und neu registrierte Absender sollten reputationsbasiert herabgestuft werden. Auf Endpoints helfen EDR-basierte Korrelationen: Wurde eine .svg aus Downloads oder einem temporären Verzeichnis geöffnet und kurz darauf powershell.exe, wscript.exe, ¨C15C, ¨C16C, ¨C17C oder ¨C18C gestartet, ist das verdächtig – ebenso das spontane Entpacken eines Archivs unmittelbar nach Browser-Rendern. SIEM-Suchen können genau diese Prozesskette innerhalb von 120 Sekunden korrelieren; MITRE skizziert entsprechende Analytics. YARA-Regeln auf Gateways und Sandboxen sollten nicht bei „SVG-Tag gefunden“ enden, sondern Strings und Strukturen typischer Kits adressieren; die von Acronis veröffentlichte Beispielregel zeigt, wie schon schlichte sprachliche Marker („juzgado“, „citacion“, „Generado“) gezielt helfen können. Für interne Webapps gilt: SVG-Uploads strikt beschränken, serverseitig neu serialisieren, strengere Content-Security-Policy (CSP) erzwingen und Inline-Skripte wie ¨C19C-URLs oder unsichere ¨C20C-Nutzung unterbinden. Und für High-Risk-Gruppen (z. B. Finanz, HR, Rechtsabteilung) lohnt ein „deny by default“ für SVG in Mail-Clients – Ausnahmen nur nach Freigabe.

Handlungsleitfaden bei Verdacht: Was Sie tun, wenn jemand die SVG geöffnet hat

Sollte ein Mitarbeiter eine verdächtige SVG geöffnet haben, zählen Minuten: Der betroffene Rechner gehört sofort vom Netz getrennt (WLAN/LAN), Browser-Downloads und zuletzt geänderte Dateien sind zu sichern, der Verlauf auf heruntergeladene Archive zu prüfen. Anschließend wird der Prozessverlauf auf PowerShell/WScript/MSHTA-Spuren untersucht, geplante Tasks und Autostarts (Run-Keys, Startup-Ordner) geprüft und die jüngsten ZIP/EXE/DLL-Artefakte mit einer isolierten Sandbox verifiziert. Findet sich ein legitimer Host-Prozess mit fremder DLL (klassisch bei Sideloading) oder wurde unmittelbar nach dem Entpacken eine EXE aus dem Benutzerkontext gestartet, ist von einer Kompromittierung auszugehen. Parallel ist auf Gateway-Logs nach passenden E-Mail-Mustern zu suchen (Betreff/Anhangsname, Absenderdomain, Empfängergruppe) und die Kampagne mit retrograder Suche zu tilgen; bei Cloud-Missbrauch (S3, Workers, Discord CDN) sollten IOC-Listen zeitnah in Web-Proxies und DNS-Filter eingespielt werden. In regulierten Umgebungen sind je nach Datenabfluss Verdachtsmeldungen obligatorisch; jenseits dessen empfiehlt sich die unmittelbare Erhöhung des MFA-Zwangs und das Zurücksetzen sensibler Konten, wenn die SVG-Phishing-Seite Anmeldedaten abgegriffen haben könnte.

Konkrete Tipps für Administratoren und Anwender – mit wenig Aufwand viel Wirkung

Eine pragmatische Sofortmaßnahme auf Windows-Desktops: Weisen Sie die Dateizuordnung für .svg auf einen Texteditor (z. B. Notepad) statt auf den Standardbrowser zu; damit öffnet sich bei Doppelklick nur Quelltext und kein ausführbares Rendering. Schulen Sie Personal, SVG-Anhänge kritisch zu betrachten, insbesondere wenn Betreffzeilen juristische Dringlichkeit („Vorladung“, „Entscheidung“, „e-Notificación“) suggerieren oder wenn das Passwort für ein Archiv bereits im Anhang bzw. der Nachricht steht. Prüfen Sie in Awareness-Trainings explizit „Bilddateien mit Klickaufforderung“, binden Sie realistische Captcha-Gates in Simulationen ein und erklären Sie, warum auch vermeintliche „SharePoint-Screenshots“ gefährlich sein können. Technisch sollten Sie serverseitig alle Upload-Oberflächen auf SVG-Durchmischung auditieren (Foren, Ticketsysteme, CMS-Mediatheken) und Content-Sanitizer einsetzen, die SVG in harmlose Rastergrafik konvertieren. Auf Netzwerkebene hilft eine Temporär-Blockade neu registrierter Domains und anomaler TLDs in Kombination mit strengeren Download-Policies für Archivformate. Und falls Sie Third-Party-Mailsecurity einsetzen, hinterfragen Sie, ob das Produkt wirklich SVG-DOM parst, Redirect-Ketten erkennt und Base64-Decoder in der Engine hat – viele SEG-Lösungen limitieren sich hier noch auf Heuristik.

Fazit: AI-gestützte Analyse ist kein Zauberstab – aber ein notwendiger Verstärker

Die Enthüllungen rund um die kolumbianische Justiz-Imitation zeigen, dass klassische, signaturbasierte Erkennung allein im Jahr 2025 nicht genügt. Angreifer verlagern Komplexität in den Client, tarnen sich in legitimer Infrastruktur und nutzen Formate, die Sicherheitsteams bislang kaum auf dem Radar hatten. AI-gestützte Analysen wie VirusTotals Code Insight schließen genau diese Lücke: Sie geben Kontext, überbrücken Heuristik-Grauzonen und beschleunigen Hunting und Korrelationsarbeit über große Datenbestände hinweg. Aber die eigentliche Verteidigungsleistung entsteht erst im Zusammenspiel – mit gehärteten E-Mail-Pipelines, restriktiven Policies für riskante Dateitypen, Endpoint-Korrelation, sauberer Identitäts-Hygiene (MFA, Session-Prüfung) und konsequenter Aufklärung der Belegschaft. Wer SVGs weiterhin wie „bloße Bilder“ behandelt, lädt Angreifer zur Kür ein. Wer sie als programmierbare Dokumente begreift, nimmt ihnen den Überraschungseffekt – und einen ihrer beliebtesten Einfallswege 2025.

VALVE Steam Deck 256GB SSD + 16GB RAM, 7″ inch,…

VALVE Steam Deck – 1tb Console – OLED (PC)

Angebot

JSAUX Steam Deck Dock 6-in-1-Dockingstation…

Letzte Aktualisierung am 1.09.2025 / Affiliate Links / Bilder von der Amazon Product Advertising API. Alle hier angezeigten Preise und Verfügbarkeiten gelten zum angegebenen Zeitpunkt der Einbindung und können sich jederzeit ändern. Der Preis und die Verfügbarkeit, die zum Kaufzeitpunkt auf Amazon.de angezeigt werden, sind maßgeblich. Als Amazon-Partner verdienen wir an qualifizierten Verkäufen.