Die gefährliche Welt von PDF

En dieser ausgezeichnete Beitrag das kam heute in heraus Follow-InfoEs wird eine der letzten und gefährlichsten Sicherheitslücken von PDFs gemeldet, die bestätigt, was wir angesprochen haben unser Beitrag gestern. Ich bringe die Moral der Geschichte voran: besser Verwenden Sie das kostenlose DJVU-Format;; Es ist sicherer und erstellt kleinere Dateien mit besserer Qualität. Es wird von einem "Riesen" wie Adobe einfach nicht unterstützt.

In diesen Tagen geht es um die Welt die Arbeit, die Didier Stevens geleistet hat, um Binärdateien aus einem PDF-Dokument auszuführen. Die Technik, wenn sie verwendet wird Adobe Acrobat Readerzeigt eine Nachricht, die, wie er selbst sagt, teilweise modifiziert werden kann. Im FoxItIm Gegenteil, es wird keine Nachricht angezeigt und Befehle werden ohne Warnungen ausgeführt.

Diese Technik ist einfach, unkompliziert und daher gefährlicher, wenn man bedenkt, dass das PDF-Format im letzten Jahr der Favorit der Exploiter war und einen sehr hohen Exploit-Level erreichte.

Als ich das sah, erinnerte ich mich daran, dass sie in vielen Artikeln im Internet, wenn sie darüber sprechen, wie man Schwachstellen in PDF ausnutzt, Dinge wie sagen "Suchen Sie die Version von Acrobat, die sie verwenden, z. B. mit FOCA." und dann den Exploit erstellen. Die arme FOCA steckte in diesen Auberginen ...

Ähnlich war die Demo, die wir für den Sicherheitstag vorbereitet haben, in der wir eine Sicherheitsanfälligkeit in Acrobat Reader (einschließlich Version 9) ausgenutzt haben, um eine Remote-Shell auf dem anfälligen Computer zu installieren. Die ausgenutzte Sicherheitsanfälligkeit wird als typisiert CVE-2009-0927 und seine Operation erlaubt es, jeden Befehl auszuführen. Wenn die Software anfällig ist, erhalten Sie eine Meldung wie in der folgenden Abbildung:

Und der Exploit, den wir verwenden, leitet die Shell an eine IP und einen Port weiter, auf den wir den Netcat zum Abhören eingestellt haben.

Auf dem ausgenutzten Computer wird natürlich der Acrobat Reader-Prozess ausgeführt, wobei die Shell-Befehle ausgeführt werden.

Angesichts der Gefahr von PDF-Exploits habe ich beschlossen, diese auf VirusTotal hochzuladen, um zu sehen, wie sich Antiviren-Engines mit diesen Exploits in PDF-Dokumenten verhalten. Es ist besonders wichtig, sein Verhalten zu berücksichtigen, wenn es sich um die im E-Mail-Manager oder im Dokumenten-Repository verwendete Engine handelt, da in diesen Gebieten mehr PDF-Dokumente verschoben werden. Das Ergebnis mit diesem speziellen Exploit war nicht schlecht, aber es war überraschend, dass es immer noch eine gute Anzahl von Motoren gab, die es nicht erkannten, aber der Prozentsatz erreichte nicht 50% und einige von ihnen waren so auffällig wie Kaspersky. McAffe oder Fortinet.

Aus Neugier kam mir der Gedanke, einen Dateipacker zu verwenden, um ausführbare Dateien zu generieren, ähnlich wie bei uns Rotbinder von Thor, aber mit weniger Funktionen genannt Jiji und da war gesehen in Cyberhades, um zu sehen, was die Antimalware-Engines getan haben, als wir den PDF-Exploit in ein Paket mit einer exe-Erweiterung eingefügt haben.

Diese neue ausführbare Datei startet beim Ausführen das Dokument mit dem PDF-Exploit. Die Alternativen, die mir in den Sinn kamen, waren: A) Sie packen es aus und die Leute von früher entdecken es und B) Sie gehen direkt davon aus, zu erkennen, was sich darin befindet, und den Packer zu signieren. Das Ergebnis war jedoch überraschend.

Nur 2 von 42 erkannten es, 1 als verdächtig und nur VirusBuster kannte das Format und machte sich die Mühe, den Inhalt zum Scannen zu entpacken.

Nachdem dies gesehen wurde, scheint es sehr richtig zu sein, dass Microsoft und Adobe erwägen, Software über Windows Update zu aktualisieren, und dass Microsoft seine Windows Update Services-Plattform geöffnet hat, um andere Lösungen wie den Windows Update-Agenten zu integrieren Secunia CSI, das mit System Center Configuration Manager und WSUS funktioniert.

Hör mir besser zu Verwenden Sie das kostenlose DJVU-Format- Es ist sicherer und erstellt kleinere Dateien mit besserer Qualität.

Quelle: Follow-Info