For millioner af mennesker, den PDF Det er det almindelige wildcard-format, men den samme popularitet har gjort det til et portal for angreb som er forklædt som almindelige og pålidelige dokumenter.
Cybersikkerhedsfirmaer som ESET advarer om, at cyberkriminelle udnytter brugertillid til at camouflere malware, stjæle data eller udnytte fejl i søgerne; derfor anbefaler de at verificere oprindelsen og tage ekstreme forholdsregler.
Oversigt og tal: PDF'ens fremkomst som lokkemiddel
Ifølge de seneste rapporter fra ESET er PDF-filer nu inkluderet i sjetteplads i top 10 trusler, især i kampagner, der cirkulerer via e-mail og beskeder.
Krogen appellerer normalt til hastende handlinger eller tillid: Beskeder om gæld, ventende procedurer eller leverancer får folk til at åbne den vedhæftede fil, en taktik der drev kampagner som den af Grandoreiro banktrojaner distribueret via links, der ender med at downloade en falsk PDF.
Formatering gør det nemt at bedrage: et dokument kan indeholde indlejrede scripts, formularer, links og filer der med et klik kan starte downloads, åbne fjernforbindelser eller udføre kode uden at vække mistanke.
Der er også observeret automatiske mekanismer, såsom Åbn handling der udløser indlejret indhold (f.eks. en Office-fil) og udnytter kendte fejl såsom CVE-2017-11882 på forældet udstyr, med potentiel kodeudførelse.
Hvordan de camouflerer sig, og hvad de kan gøre
Angribere bruger dokumenter, der virker troværdige, for at få brugeren til at sænke paraderne og åbn den vedhæftede fil uden mistanke hvad der ligger bagved.
- Regninger eller gæld med generiske navne som “Faktura.pdf”.
- Genoptages bruges i kampagner rettet mod virksomheder og HR.
- Medicinske resultater der appellerer til personlig bekymring.
- Bank- eller officiel kommunikation der imiterer institutioner.
Inde i selve dokumentet kan de skjules usynlige scripts og links designet til at omdirigere til falske websteder, downloade malware eller starte baggrundsprocesser, ofte uden synlige tegn for den gennemsnitlige bruger.
Tegn på at opdage en farlig PDF
Et hurtigt kig på visse detaljer kan undgå skuffelse: det er tilrådeligt at identificere tegn, der afslører en Manipuleret eller mistænkelig PDF før du åbner den.
- Komprimerede vedhæftede filer i ZIP eller RAR for at omgå filtre.
- Dobbelte forlængelser eller vildledende eksempler som “document.pdf.exe”.
- Afsender eller domæne som ikke passer med den virkelige enhed.
- Uventede forsendelser ikke relateret til modtageren.
- Atypiske størrelser eller uforholdsmæssigt store i forhold til det lovede indhold.
- Tekster med fejl, sjuskede designs eller usædvanlige anmodninger.
Hvis seeren desuden beder om at aktivere JavaScript, makroer eller eksterne downloads For at se indholdet er det bedst at lukke filen og slette den uden at køre den.
Praktiske foranstaltninger og hvad du skal gøre, hvis du allerede har åbnet den
For at reducere risici anbefaler specialister validere filen på tjenester som VirusTotal før du åbner den, og anvend grundlæggende kontroller, der øger den daglige sikkerhed.
- Aktivér udvidelsesvisningen af systemet for at se den faktiske filtype.
- Tjek navn og størrelse leder efter anomalier eller uoverensstemmelser.
- Undgå at åbne komprimerede vedhæftede filer mistænkte, selvom de kommer fra regelmæssige kontakter.
- Hold dig opdateret PDF-læseren, operativsystemet og browseren.
- Brug antivirus og antimalware med realtidsbeskyttelse.
Hvis du allerede har klikket og har mistanke om, at det var skadeligt, skal du afbryde forbindelsen til internettet for at afbryde kommunikationen med kommandoserverne og køre en fuld scanning med antimalwareGennemgå processer og vedholdenhed, og skift følsomme adgangskoder (e-mail, bank, sociale netværk); søg om nødvendigt professionel hjælp.
Teknisk advarsel: risici ved automatisk analyse
Forskere har rapporteret en svaghed i miljøer, der behandler dokumenter automatisk: a XXE-sårbarhed i Apache Tika PDF-modulet kan udnyttes via XFA-formularer integreret i PDF-filer.
- Berørte versioner: af 1.13 til 3.2.1, med mulighed for at læse lokale filer, netværksgenkendelse og SSRF under analyse.
- Stort overfladearealTika integrerer med parsere, applikationer og servere; virkningen på virksomheder kan være betydelig, hvis upålidelige PDF-filer indtages.
Den prioriterede anbefaling er opdatering til version 3.2.2 (eller højere) og hærd pipelinen: valider PDF-uploads, begræns netværksoutput fra parsingprocesser og overvåg for unormale hændelser relateret til XML-behandling.
Ud over specifikke patches, kombinationen af God praksis, opdaterede værktøjer og oprindelsesverifikation Reducerer dramatisk angrebsfladen, der udnyttes af ondsindede PDF'er, både i personlige indbakker og i virksomhedsmiljøer.
