Nebezpečný svět PDF

En tento vynikající příspěvek který vyšel dnes v Sledujte informaceje ohlášena jedna z posledních a nejnebezpečnějších zranitelností souborů PDF, která potvrzuje, o čem jsme hovořili náš včerejší příspěvek. Posunuji morálku příběhu: lépe použijte bezplatný formát DJVU; je bezpečnější a vytváří menší a kvalitnější soubory… prostě to nepodporuje „gigant“ jako Adobe.

V dnešní době to obíhá celý svět práce, kterou provedl Didier Stevens pro provádění binárních souborů z dokumentu PDF. Technika, pokud se používá Adobe Acrobat Reader, ukazuje zprávu, kterou lze, jak sám říká, částečně upravit. v FoxItnaopak se nezobrazí žádná zpráva a příkazy jsou prováděny bez upozornění.

Tato technika je jednoduchá, přímá, a proto nebezpečnější, vezmeme-li v úvahu, že formát PDF byl v loňském roce oblíbeným vykořisťovatelem a dosahoval velmi vysokých úrovní vykořisťování.

Když jsem to viděl, vzpomněl jsem si, že v mnoha článcích na internetu, když hovoří o tom, jak zneužít zranitelná místa v PDF, říkají věci jako „Vyhledejte verzi aplikace Acrobat, kterou používají, například pomocí FOCA“ a pak postavit exploit. Chudák FOCA uvízl v těch lilcích ...

Něco podobného bylo demo, které jsme připravili pro Den bezpečnosti, ve kterém jsme využili chybu zabezpečení v Acrobat Readeru (včetně verze 9), abychom získali vzdálený Shell na zranitelném počítači. Využívaná chyba zabezpečení je typická jako CVE-2009-0927 a jeho provoz umožňuje vykonat jakýkoli příkaz. Pokud je software zranitelný, zobrazí se vám zpráva podobná té na následujícím obrázku:

A zneužití, které používáme, přesměrovává Shell na IP a port, na kterém jsme nastavili netcat, aby naslouchal.

Samozřejmě na zneužívaném stroji běží proces Acrobat Reader, který se stará o příkazy prostředí.

Když jsem viděl nebezpečí zneužití PDF, rozhodl jsem se jej nahrát na VirusTotal, abych zjistil, jak se antivirové motory chovají s těmito zneužití v dokumentech PDF. Je obzvláště důležité vzít v úvahu jeho chování, pokud mluvíme o enginu používaném ve správci e-mailů nebo v úložišti dokumentů, protože se jedná o území, kde se pohybuje více dokumentů PDF. Výsledek, s tímto konkrétním zneužitím, nebyl špatný, ale bylo překvapivé, že stále existoval dobrý počet motorů, které jej nezjistily, ale procento nedosáhlo 50% a některé z nich byly tak nápadné jako Kaspersky, McAffe nebo Fortinet.

Jako zvědavost mě napadlo použít generátor spustitelných souborů, jako je náš drahý, pomocí balíku souborů redbinder Thor, ale s menšími funkcemi Jiji a bylo vidět v Cyberhades, abychom zjistili, co dělaly antimalwarové motory, když jsme umístili exploit PDF do balíčku s příponou exe.

Tento nový spustitelný soubor při spuštění spustí dokument s využitím souboru PDF. Alternativy, které mě napadly, byly: A) rozbalili to a lidé z doby před objevením a B) jdou přímo zjistit, co je uvnitř, a podepsat balírnu, ale výsledek byl překvapivý.

Pouze 2 ze 42 to detekovaly, 1 jako podezřelý, a pouze VirusBuster znal formát a vzal si problém, aby obsah rozbalil a naskenoval.

Poté, co jsem to viděl, se mi zdá velmi správné, že Microsoft a Adobe uvažují o aktualizaci softwaru prostřednictvím Windows Update a že Microsoft otevřel svou platformu Windows Update Services pro integraci dalších řešení, jako je agent Windows Update Secunia CSI, který pracuje s System Center Configuration Manager a WSUS.

Poslouchej mě lépe použijte bezplatný formát DJVU- Je bezpečnější a vytváří menší a kvalitnější soubory.

zdroj: Sledujte informace