Можно ли заразиться вирусом через SVG-файл

Что такое SVG и почему это не «просто картинка»

SVG (Scalable Vector Graphics) — это формат векторной графики, но технически он устроен совсем не так, как JPEG или PNG. JPEG и PNG — это бинарные растровые данные: сетка пикселей, у которой просто нет механизма что-либо «выполнить». SVG-файл — это текстовый документ в формате XML, и открыть его можно в обычном блокноте: внутри будут читаемые теги вроде <svg>, <path>, <circle>, которые браузер интерпретирует и рисует как изображение.

Проблема в том, что спецификация SVG, поддерживаемая браузерами, разрешает внутри того же XML-документа тег <script> с полноценным JavaScript, элемент <foreignObject>, который может встраивать произвольный HTML, и event-обработчики вроде onload или onclick, которые срабатывают прямо в момент открытия файла в браузере. То есть SVG-файл — это не картинка со скрытым кодом «внутри пикселей», а полноценный исполняемый веб-документ, который просто выглядит как картинка. Это и есть ключевое отличие от других форматов изображений: он «вирус через картинку» в буквальном смысле, а не метафорически.

Как SVG-файл заражает компьютер: механика атаки

Схема типичной атаки простая: пользователь получает SVG-файл (во вложении письма, в сообщении мессенджера или как «превью» на сайте), открывает его двойным кликом или по ссылке — файл запускается в браузере по умолчанию, встроенный JavaScript выполняется, и дальше сценарий зависит от цели атакующего: показ фальшивой страницы логина, скрытая загрузка вредоносной программы или перенаправление на фишинговый сайт.

Подмена MIME-типа (text/plain вместо image/svg+xml) — почему это обходит фильтры

Один из приёмов, который используют злоумышленники, — указать для SVG-вложения MIME-тип text/plain вместо ожидаемого image/svg+xml. Многие сканеры почтовых вложений настроены анализировать файлы изображений иначе, чем текстовые или HTML-файлы: изображение они, как правило, проверяют только на структурные аномалии декодера, а не на наличие исполняемого кода. Если фильтр классифицирует вложение как «обычный текст», а не как потенциально активный документ, часть проверок, рассчитанных на HTML/JS-вложения, просто не применяется — файл проскакивает мимо специфичных для скриптов эвристик.

Что скрывают внутри — обфусцированный JavaScript, base64, CDATA-блоки

Чтобы вредоносный код не бросался в глаза при беглом просмотре и труднее поддавался сигнатурному анализу, его обфусцируют: кодируют в base64 и декодируют на лету функцией atob(), оборачивают в <![CDATA[ … ]]>-блоки (формально предназначенные для безопасной вставки произвольного текста в XML), либо используют операции вроде XOR для «расшифровки» полезной нагрузки прямо в браузере жертвы. Внешне такой SVG-файл может выглядеть как безобидная иконка или логотип — визуально отрисовывается именно то изображение, которое ожидает увидеть пользователь, а вредоносная часть кода срабатывает параллельно и незаметно.

Реальные кампании 2026 года: цифры и факты

SVG-смаглинг (SVG smuggling) — не теоретический риск, а задокументированная тактика, которую в 2026 году зафиксировали несколько независимых команд threat intelligence.

По данным Sophos X-Ops, злоумышленники массово используют SVG-вложения для брендовой подмены — рассылки маскируются под уведомления DocuSign, SharePoint, Dropbox, Google Voice и RingCentral. Исследователи Sophos разобрали кейс, где внутри SVG-файла был зашит base64-кодированный ZIP-архив с кейлоггером, детектируемым как Troj/AutoIt-DHB: пользователь думал, что открывает уведомление о документе, а на деле запускал цепочку заражения.

Отдельную масштабную кампанию описали в Kaseya и INKY: с июня по август 2026 года была зафиксирована рассылка из 26 589 писем, нацеленная на 5527 организаций. Письма маскировались под уведомления о голосовых сообщениях (voicemail) и содержали вредоносные SVG-вложения; по данным того же источника, 75% этих писем успешно прошли спам-фильтр Microsoft 365. Там же отмечен резкий рост самого явления: количество вредоносных SVG-вложений выросло в 50 раз в 2025 году по сравнению с 2024-м.

Ещё одну волну описывает SecurityWeek со ссылкой на Microsoft Threat Intelligence: в период 23–25 февраля 2026 года была замечена кампания с более чем 1,2 млн писем, затронувшая свыше 53 000 организаций в 23 странах — SVG-вложения в ней использовались для браузерного (browser-native) перенаправления жертв на фишинговые страницы без промежуточной загрузки отдельного файла.

Отдельно стоит кейс, который разбирает Habr со ссылкой на исследование Sansec — атака под названием PolyShell, в которой вредоносный код прятался в SVG-изображении размером 1×1 пиксель (классический «невидимый» трекинговый пиксель). Атака затронула порядка 100 интернет-магазинов на платформе Magento: код выполнялся через onload, использовал atob() для декодирования полезной нагрузки и XOR для дополнительной маскировки.

Почему антивирусы и почтовые фильтры часто пропускают вредоносный SVG

Корень проблемы — в том, как исторически классифицируются типы файлов в системах защиты. Большинство антивирусных движков и спам-фильтров много лет оптимизированы на то, чтобы ловить вредоносный код в исполняемых файлах, скриптах и офисных документах с макросами — именно эти категории годами считались основным вектором атак (см. также разбор макросов в Word и Excel как похожего по логике «безопасного на вид» вектора). Файлы изображений традиционно относили к низкому риску и проверяли в первую очередь на структурные аномалии декодера — переполнение буфера, повреждённые заголовки, — а не на наличие активного кода внутри.

SVG формально — изображение по расширению и по MIME-типу image/svg+xml, поэтому многие защитные системы применяют к нему именно эту, более мягкую, логику проверки, а не ту, что используется для HTML- или JS-вложений. В результате SVG-файл с внедрённым <script> может технически считаться «изображением» для фильтра — и при этом вести себя как полноценный исполняемый веб-документ при открытии в браузере.

7 шагов: как проверить SVG-файл перед открытием

Чек-лист ниже не требует специализированных инструментов безопасности — подойдёт для обычного пользователя и небольшой компании без выделенной security-команды.

1. Проверьте источник письма или файла. Ожидали ли вы вложение от этого отправителя? Совпадает ли адрес с официальным доменом компании, от имени которой пришло письмо? Неожиданный SVG «от DocuSign» или «голосовое сообщение» — уже повод насторожиться.
2. Откройте файл как текст — НЕ в браузере. Переименуйте расширение на .txt или откройте файл через «Открыть с помощью» → Блокнот / VS Code. Так вы увидите исходный XML-код, но не запустите его — браузер не интерпретирует содержимое текстового файла как исполняемый SVG.
3. Ищите опасные паттерны в коде. Теги <script> и <foreignObject>, обработчики onload= и onclick=, ссылки, начинающиеся с javascript:, длинные строки data:-URL и любые внешние адреса http(s):// внутри файла — всё это нетипично для простой иконки или логотипа.
4. Сверьте расширение с реальным MIME-типом письма. Если почтовый клиент или заголовки письма показывают вложение как text/plain или application/octet-stream вместо ожидаемого image/svg+xml, это несовпадение — самостоятельный тревожный сигнал, описанный выше в разделе про подмену MIME-типа.
5. Прогоните файл через антивирус или онлайн-сканер. Загрузите файл на VirusTotal или проверьте установленным антивирусом — часть вредоносных SVG уже попадала в базы сигнатур после публикации исследований Sophos, Kaseya и Microsoft.
6. При сомнении — конвертируйте в PNG, а не открывайте оригинал. Рендеринг SVG в растровый формат (например, через онлайн-конвертер или редактор изображений) создаёт новый файл из пикселей — исполняемый код в него физически не переносится, потому что в PNG нет синтаксиса для его хранения.
7. Не вводите логин и пароль на странице, открывшейся из SVG-вложения. Если после открытия файла браузер показал форму входа (даже похожую на DocuSign, SharePoint или банк) — это, скорее всего, фишинговая страница, а не легитимный сервис.

Таблица: что ищем в коде SVG

Что делать, если уже открыли подозрительный SVG

Если файл уже был открыт в браузере и что-то показалось подозрительным — форма входа, неожиданная загрузка, редирект — действуйте быстро.

1. Отключитесь от сети. Выключите Wi-Fi или выдерните кабель — это прервёт связь с сервером атакующего, если вредоносный скрипт пытается что-то передать или скачать.
2. Не вводите никакие логины и пароли на открывшейся странице, даже если вы уже начали это делать — остановитесь и закройте вкладку.
3. Проверьте компьютер антивирусом — запустите полное сканирование, а не быстрое, чтобы проверить все разделы диска, а не только системные папки.
4. Если данные всё же были введены — немедленно смените пароли к затронутым сервисам, желательно с другого, незаражённого устройства, и включите двухфакторную аутентификацию там, где её ещё не было.

Как обезопасить себя заранее

• Не открывайте SVG-вложения из непроверенных писем и сообщений в мессенджерах — особенно под видом голосовых сообщений (voicemail), счетов или уведомлений от сервисов документооборота.
• Отключите автоматическое превью вложений в почтовом клиенте, если такая настройка доступна — это снижает риск случайного срабатывания скрипта до того, как вы успели проверить файл.
• Используйте браузерные расширения-санитайзеры или онлайн SVG-сканеры, которые проверяют содержимое файла на опасные теги перед открытием.
• Для бизнеса — закрепите в политике безопасности правило «SVG = потенциально активный контент», а не «SVG = картинка», и настройте почтовый шлюз на отдельную проверку SVG-вложений, а не общую проверку изображений.

Частые вопросы