主要收获
- SVG 文件不像 JPEG 或 PNG 那样是二进制图像数据。它们基于 XML，并可能包含可执行脚本，浏览器在打开文件时会立即运行这些脚本。
- 根据Hoxhunt发布的《2026年网络钓鱼趋势报告》，2025年恶意SVG附件的数量较2024年增长了50倍，目前已成为全球第三大最常见的恶意电子邮件附件类型。
- 每个 SVG 有效载荷都是根据收件人的电子邮件地址量身定制的。重定向目标被拆分，通过多个变量进行加密，并在运行时才进行组装，因此对于任何静态读取该文件的扫描工具而言，其内容看起来都像是一堆乱码。
- 传统检测依赖于识别已知的攻击模式，无论是通过特征码还是启发式方法。
- Deep CDR™ 技术会在受支持的图像文件到达用户之前，清除其中的活跃内容，无论该威胁是否曾被发现过。无需签名，也无需事先接触过该威胁。
没有宏。没有可执行文件。只是一张能够执行脚本的图片。
2026年6月2日，SANS互联网风暴中心分析师泽维尔·梅尔滕斯（Xavier Mertens）发布了一篇分析报告，探讨了一起持续数日、不断出现在他收件箱中的新型网络钓鱼活动。每封邮件的附件都是一个SVG文件——这种文件通常被人们视为图标、插图和网页图形。从表面上看，它没有任何迹象表明存在威胁。
双击该文件后，默认浏览器随即打开，嵌入的脚本在用户不知情的情况下运行，随后浏览器被重定向至一个针对收件人电子邮件地址量身定制的凭证窃取页面。直到为时已晚之前，没有任何迹象表明发生了异常情况。
此次攻击既不需要特殊软件，也不需要启用宏的文档，更不需要用户给予任何超出“打开附件”这一本能反应之外的权限。整个攻击机制基于一个普遍的假设：即图像文件本身风险较低。
JPEG 用于渲染，SVG 用于执行。这种差异正是攻击的所在。
这种假设是可以理解的。JPEG 和 PNG 文件以像素数据的形式呈现，这限制了它们在文件层面的攻击面。
SVG 则有所不同。它采用 XML（可扩展标记语言）编写，这正是网页的基础标记语言，这意味着 SVG 文件可以包含脚本标签、锚点元素以及其他交互式网页内容，浏览器会像处理普通网页一样处理这些内容。
这就是攻击者正在利用的漏洞。梅滕斯分析的此次攻击活动中的文件完全不包含任何图形内容。它们纯粹由代码构成：经过混淆处理的JavaScript被包裹在尽可能轻量级的SVG外壳中，而该SVG容器存在的唯一目的，就是让文件在被电子邮件网关归类为图片附件的同时，仍能成功进入受害者的浏览器。
为什么这已成为一个紧迫的问题
SVG作为攻击载体并非新鲜事，但其大规模应用的势头正在加快。研究人员自2017年左右起就已记录到电子邮件中的恶意SVG附件，这不禁让人产生一个显而易见的问题：究竟发生了什么变化，使得这一问题在今天值得讨论？
主要有两点发生了变化。
首先，攻击规模发生了剧变。与2024年相比，2025年的恶意SVG附件数量增长了50倍（参见Hoxhunt《2026年网络钓鱼趋势报告》），而在2026年2月的一次单独攻击活动中，微软追踪到有120万封基于SVG的网络钓鱼邮件被发送至23个国家的5.3万多家组织。 这种技术本身并不新鲜，但其被大规模采用却是新现象。
其次，防御环境的变迁使得SVG更具吸引力。微软于2022年默认禁用了Office宏，基于PDF的威胁受到了更严格的审查，而SVG在许多网关处拥有相对良好的声誉记录，这意味着那些寻求“最省力路径”的攻击者很快便发现SVG极具吸引力。
梅尔滕斯记录的这种规避技术非常隐蔽。嵌入在 SVG 中的 JavaScript 声明的类型为application/ecmascript，而非标准的text/javascript；虽然浏览器会将这两种类型视为完全相同，并执行标有任一类型的脚本，但浏览器所接受的内容与安全工具所检查的内容之间的差异，正是攻击发生的关键所在。
2022年，RFC 9239更新了该标准后，安全厂商纷纷遵循新规，将application/ecmascript 从 其检测列表中 移除。而为了保持向后兼容性而设计的浏览器，却依然继续执行该内容。标准中明确指出该类型已被废弃，但浏览器似乎从未收到这一通知。
结果就是形成 了一个持久的漏洞。application/ecmascript 并非 一个新颖或冷门的标识符，其历史可追溯至2000年代初期。攻击者并非其发明者。他们注意到，RFC过渡在遵循旧行为的浏览器与强制执行新标准的扫描器之间造成了不对称性，而这种不对称性不会自行消除。 任何未将已弃用的 ECMAScript MIME 别名明确重新添加回检查规则的网关，仍然处于暴露状态——这并非因为该网关过时，而是因为它实施了一项浏览器并未遵循的标准。
攻击如何通过个性化处理成功进入收件箱
收件人的地址经过Base64编码，并直接嵌入到SVG有效载荷中，这意味着该活动中的每一份附件都会生成一个针对特定收件人的唯一、个性化的钓鱼链接，且成本几乎为零。
这种程度的个性化之所以重要，是因为它能够规避用于拦截通用型攻击活动的启发式检测机制——因为此类攻击既没有重复的有效载荷，也没有共享的重定向网址，更不存在像大规模网络钓鱼那样在所有收件人中普遍存在的模式。
重定向目标经过 Base64 编码，随后使用运行时由两个独立变量组合而成的密钥进行加密。这并非复杂的加密技术，但使其能够有效抵御自动化扫描器的原因，正是密钥的组合过程本身。
试图逆向解析混淆的检测系统需要同时掌握算法和密钥，而此处的密钥在文件中的任何位置都不以单一值的形式存在。它被拆分为两个变量，仅在执行时才进行拼接，这意味着扫描器必须先解析运行时程序集，才能重建目标 URL，而这需要实际执行脚本，而非仅仅读取脚本。 静态分析几乎无法提供有用的线索，且有效载荷只有在真实的浏览器环境中才能被读取，而这恰恰是大多数网关检测无法进行的地方。
单个规避层或许会被拦截，但当它们叠加在一起时——例如，被归类为图像的附件格式、过时的MIME类型、加密的有效载荷，以及位于滥用记录有限的顶级域名下的目标域名——这些因素共同作用，会显著提高邮件进入收件箱的概率。
您的网关并未出现故障。此次攻击绕过了检测机制。
基于检测的电子邮件安全机制围绕一个根本问题展开：该文件是否与已知或可识别的威胁相匹配？其有效性取决于先验知识，无论是通过签名还是行为模式获得的。
这种依赖性正是此次攻击活动所暴露出的结构性局限。多层混淆手段意味着扫描器确实很难发现任何可疑内容，而SVG文件的分类方式则导致该文件可能不会像Office文档或可执行文件那样受到同等程度的审查。如果您的网关将SVG归类为图像格式并据此采用较宽松的检查机制，那么此次攻击活动很可能在网关层级并未被拦截。这正是攻击行为游离于检测机制评估范围之外的一个典型案例。
这并不是说检测机制不起作用。对于已知的威胁，它效果很好，而且任何电子邮件安全架构若没有检测机制，都无法有效运作。问题在于，当遇到检测系统从未见过的全新威胁时，会发生什么情况。
“预防第一”意味着预先移除所有活跃内容
“预防优先”的方法在检测之外还引入了一项补充措施：该文件是否仍包含活动内容？
Deep CDR™ 技术并不试图判断文件是否具有恶意。相反，它会对文件进行拆解，移除任何潜在的恶意或违反策略的元素，并提供一个经过净化、可正常使用的版本。对于包含活动脚本的 SVG 文件而言，这意味着如果文件中存在合法的图形内容，用户收到的文件将按预期渲染，但其中不会包含用于发起攻击的脚本。
这一方法在SE Labs内容无害化与重建测试中获得了有史以来首个100%的评分，该测试认可Deep CDR™技术是首个在“保护”和“准确性”两项评分中均达到100%的CDR解决方案。
并非所有威胁都能仅靠数据净化来消除。规避型有效载荷——即那些经过精心设计、在静态分析下看似无害、仅在运行时才会激活的文件——需要进行超越数据净化范围的行为检测。 MetaDefender 通过动态沙箱分析填补了这一空白，利用仿真技术揭露恶意行为，并给出单一可信的判定结果。凭借 99.9% 的零日漏洞检测率，Aether 解决了仅靠数据净化和多重扫描无法应对的残余安全风险。
SVG之外值得关注的趋势
SVG只是当前的一个例子，但绝不会是最后一个。这种模式的范围比SVG更广：任何看似合法却暗藏可执行内容的文件格式，都可能面临同样的处理。
HTML 附件能将有效载荷绕过网关。嵌入 PDF 文件中的二维码会重定向至窃取凭据的页面。隐写有效载荷则隐藏在图像元数据中。在每种情况下，文件在结构层面上完全符合其标称类型，却携带了表面级分类检查根本无法检测到的内容。
这给我们的启示并不是说某种特定的文件格式本身就危险，而是“这个文件看起来无害”这一理由，已不再是支持文件交付决策的合理依据。当一个文件通过了所有检测检查时，应该自动交付它，还是无论如何都应对其进行清理？
OPSWAT 如何OPSWAT 多层防护策略保障Email Security
攻击者通常认为，检测是最后一道防线。而对我们而言，检测只是多层防御策略的一部分，该策略融合了多种技术，旨在为客户最大限度地提升边界安全防护能力。 MetaDefender™Email Security 将这一理念应用于两种部署模式：
- MetaDefender™Email Gateway Security 作为软件在本地部署，运行于 SMTP/MX 层。Deep CDR™ 技术覆盖 200 多种文件类型，可从每个附件中清除活动内容，并递归扫描嵌套压缩包以实现深度净化；Metascan™Multiscanning整合 30 多种杀毒引擎，可并行运行检测，预测性 Alin AI可在毫秒内判定附件是否含有威胁，无需实际执行；MetaDefender 沙箱技术可应对需要更深入行为分析的规避型有效载荷；而Proactive DLP™技术则针对 125 多种文件类型，从源头防止数据泄露。
- MetaDefender™Cloud Email Security 在 Microsoft 365 环境中贯彻“预防优先”原则，无需修改 MX 记录、无需硬件，也不会中断邮件流。Deep CDR™ 技术、MetaDefender 、Multiscanning 17 个杀毒引擎Multiscanning MetascanMultiscanning 以及 Predictive Alin AI，会在所有收发邮件（包括加密文件）到达用户之前，对其中的每个附件进行检查和清理。
