PDF 檔案已成為工作、學校和政府中共享文件的首選格式，但這種普遍性也使它們成為攻擊者的常見目標。 許多詐騙和惡意軟體活動都偽裝成看似合法的 PDF。 透過電子郵件發送或從網頁下載。
它的多功能性是一把雙刃劍：除了文字和圖像之外，PDF 還可以包含 連結、表單、多媒體、嵌入式文件和腳本這種靈活性雖然讓日常生活更加便捷，但也讓網路犯罪分子得以隱藏程式碼、在檔案開啟時觸發操作，或將使用者重新導向到惡意網站。卡巴斯基等公司和 INCIBE 等組織堅持認為 及時發現風險訊號 對於減少攻擊面至關重要。
為什麼 PDF 會吸引網路犯罪分子
與其他格式不同，PDF 可讓您合併各種各樣的物件和自動化。 攻擊者利用 OpenAction、JavaScript 和嵌入式檔案等功能。 執行命令、下載外部內容或引導受害者造訪虛假網站。
騙局往往在於外表：發票、薪資單、銀行通知或催促人們匆忙的「官方」通訊。 熟悉的格式和專業的外觀使文件更具信心。，使其更容易點擊並減少最初的懷疑。
在企業環境中，PDF 在部門和供應商之間不斷流傳。 這種連續流動有助於惡意檔案通過基本過濾器並到達非技術用戶。，無需注意警告標誌即可打開它。
行業報告（例如來自 ESET 的報告） 值得注意的檢測結果包括惡意 PDF 在透過電子郵件分發的網路釣魚活動中，證實了其在當前威脅情勢中的重要性。
辨識危險 PDF 的標誌
在打開文件之前，最好先檢查現實活動中經常重複出現的幾個跡象。 訊號累積越多，風險機率越大:
- 可疑連結：指向陌生網域名稱、縮短地址或未加密網站的超連結。 »
- 不尋常的權限或操作：請求「啟用」功能、下載外部內容或執行嵌入元素。
- 印刷錯誤、奇怪的字體或糟糕的設計：有操縱或快速組裝的跡象。
- 異常體重：文件內容與其承諾的內容相比出奇地輕，或者文件內容過於沉重而沒有任何解釋。
- 誤導性的名稱和擴展名：「Invoice.pdf」、「document.pdf」或類似「document.pdf.exe」的組合。
- 壓縮附件：ZIP 或 RAR 內的 PDF 可逃避電子郵件過濾器。
- 可疑寄件人：與其聲稱代表的實體不符的地址或域中的細微變化。
惡意 PDF 可以做什麼
危險的文檔不僅會下載病毒； 可能觸發對安全性造成嚴重影響的複雜操作:
- 安裝或下載惡意軟體：從木馬和間諜軟體到勒索軟體，通常透過隱藏腳本或連結。
- 竊取資訊：憑證、銀行資料和敏感文件可能會在用戶不知情的情況下被洩露。
- 利用漏洞:: Adobe Acrobat 或 Foxit 等閱讀器中的缺陷允許遠端程式碼執行。
- 有針對性的攻擊：針對目標公司環境量身訂製的文件，以提高詐欺有效性。
PDF入侵的常見案例和技術
安全調查記錄了以下活動： 連結到銀行木馬下載的 PDF 像Grandoreiro一樣，將通訊偽裝成來自公共行政部門的資訊。該策略結合了社會工程和偽裝連結來竊取財務憑證。
另一種已知技術是包括 嵌入式 Office 文件和 OpenAction 在開啟 PDF 時運行，利用舊的漏洞，例如 CVE-2017，11882 在 Microsoft Office 中。這可能會導致惡意軟體的靜默安裝或後門的開啟。
至於藉口，攻擊者常會使用 付款通知、發票、所謂的退款、醫療結果或銀行通信目標是產生緊迫感和可信度，以推動檔案館的開放。
如何在打開 PDF 之前分析和檢查它
採用驗證流程可顯著降低風險。 這些做法有助於在問題文件造成危害之前將其過濾掉。:
- 使用多重防毒服務掃描文件 在打開之前，請先嘗試 VirusTotal。
- 檢查寄件人：檢查完整地址、網域名稱和可能存在的微妙模仿。
- 檢查實際名稱和副檔名 的文件；警惕雙重擴展。
- 避免打開壓縮的 PDF 收到的內容沒有上下文或不是您預料到的。
- 在 PDF 閱讀器中禁用 JavaScript 如果不需要它並阻止外部程式的執行。
- 保持您的 PDF 閱讀器和系統保持最新 堵住可利用的漏洞。
- 使用「強化」或安全模式的閱讀器 限制危險功能。
如果你已經開啟了可疑的 PDF 檔案該怎麼辦
如果您懷疑自己與惡意文件進行了交互，請迅速採取行動以限制其影響範圍。 儘早做出反應至關重要:
- 中斷裝置與網際網路的連接 切斷與命令和控制伺服器的通訊。
- 運行全面掃描 使用反惡意軟體解決方案並審查異常的流程或任務。
- 更改敏感密碼 （電子郵件、銀行、企業網路）來自受信任的裝置。
- 監控銀行帳戶並通知您的機構 如果您偵測到異常活動。
- 在公司，通知 IT 團隊 啟動遏制、遙測和法醫分析。
針對企業的額外措施
在組織中，防禦必須結合技術和訓練。 預防政策和控制措施降低了這些活動的成功率:
- 郵件過濾器和沙盒 在將附件和 URL 發送給使用者之前對其進行分析。
- 阻止 JavaScript 和二進位執行的策略 來自 PDF 閱讀器。
- 補丁管理 繼續在辦公系統和應用程式中使用。
- 網路釣魚意識和模擬 對員工進行訊號檢測訓練。
- 最小特權和分段原則 如果發生入侵，則限制橫向移動。
透過基本的檢查習慣和正確的工具， 識別危險的 PDF 並及時阻止它們是可能的。了解跡象、理解風險並知道如何應對有助於降低風險並確保設備和敏感資訊的安全。