Fecha: 8 de agosto de 2025
Una nueva técnica maliciosa ha sido detectada en docenas de sitios pornográficos que utilizan archivos de imagen en formato .svg para ejecutar código JavaScript oculto y manipular navegadores de visitantes desprevenidos. Esta práctica permite que los navegadores den “me gusta” automáticamente a publicaciones específicas en Facebook sin el conocimiento ni consentimiento del usuario.
¿Qué es un archivo .SVG y por qué es peligroso?
El formato Scalable Vector Graphics (.svg) es un estándar abierto para imágenes vectoriales que usa texto basado en XML para definir gráficos bidimensionales. A diferencia de formatos como .jpg o .png, los archivos .svg pueden contener código HTML y JavaScript embebido, lo que los hace potencialmente vulnerables a abusos como:
- Secuencias de comandos entre sitios (XSS)
- Inyección de HTML malicioso
- Ataques de denegación de servicio
Esta capacidad de incluir código activo dentro de una imagen es la base del problema detectado.
El “clicker silencioso”: cómo funciona el ataque
La firma de seguridad Malwarebytes descubrió que varios sitios para adultos están usando archivos .svg con código JavaScript ofuscado para inducir a los navegadores a dar “me gusta” en publicaciones de Facebook que promocionan esos mismos sitios.
- El código JavaScript está oculto usando una técnica llamada JSFuck, que codifica el script usando solo unos pocos caracteres para camuflarlo.
- Al hacer clic en la imagen .svg, el navegador descarga y ejecuta un script malicioso llamado Trojan.JS.Likejack.
- Este troyano hace clic automáticamente en el botón “Me gusta” de Facebook, siempre que el usuario tenga su sesión iniciada.
Este método permite a los atacantes aumentar artificialmente la popularidad de sus publicaciones y atraer más tráfico a sus sitios.
Antecedentes y casos similares
El abuso del formato .svg no es nuevo. Algunos ejemplos previos incluyen:
- En 2023, hackers prorrusos usaron etiquetas .svg para explotar vulnerabilidades de scripting entre sitios en Roundcube, un popular cliente de correo web.
- En junio de 2025, se documentó un ataque de phishing que usó un archivo .svg para mostrar una pantalla falsa de inicio de sesión de Microsoft con el correo electrónico del objetivo ya rellenado.
¿Quiénes están afectados?
Malwarebytes identificó decenas de sitios pornográficos, todos basados en WordPress, que utilizan esta técnica para robar “me gusta” en Facebook. Aunque Facebook cierra regularmente las cuentas que cometen este tipo de abuso, los atacantes suelen crear nuevos perfiles para continuar con la actividad maliciosa.
¿Cómo protegerse?
- Evita hacer clic en imágenes sospechosas o enlaces en sitios no confiables.
- Mantén actualizado tu navegador y software de seguridad.
- Cierra sesión en Facebook cuando no lo uses para evitar que scripts maliciosos actúen en tu cuenta.
- Utiliza extensiones o herramientas que bloqueen scripts maliciosos y contenido no deseado.
Referencias
- Dan Goodin, “Los sitios para adultos esconden códigos de explotación dentro de archivos .svg picantes”, 8 de agosto de 2025.
- Pieter Arntz, investigador de Malwarebytes.
- Malwarebytes Blog
- Reportes previos sobre ataques con archivos .svg en Roundcube y phishing de Microsoft.
Conclusión
El formato .svg, aunque útil para gráficos escalables, puede ser explotado para ejecutar código malicioso en navegadores. Los usuarios deben estar alerta ante este tipo de ataques, especialmente en sitios con reputación dudosa, y tomar medidas para proteger sus cuentas y dispositivos.
Comentarios
Publicar un comentario