PDF文件已成为工作场所、学校和政府部门共享文档的首选格式，但正是这种普及性也使其成为攻击者的常见目标。许多诈骗和恶意软件活动都伪装成看似合法的PDF文件，这些文件通过电子邮件发送或从网站下载。
PDF 的多功能性是一把双刃剑：除了文本和图像，PDF 还可以包含链接、表单、多媒体、嵌入式文档和脚本。这种灵活性虽然让日常生活更加便捷，但也让网络犯罪分子有机可乘，他们可以隐藏代码、在文件打开时触发特定操作，或将用户重定向到恶意网站。卡巴斯基等公司以及 INCIBE 等组织都强调，及早发现风险信号对于缩小攻击面至关重要。
为什么 PDF 会吸引网络犯罪分子
与其他格式不同，PDF 允许嵌入各种各样的对象和自动化流程。攻击者利用 OpenAction、JavaScript 和嵌入式文件等功能来执行命令、下载外部内容或将受害者重定向到虚假网站。
诀窍通常在于外观：发票、工资单、银行对账单或旨在促使人们立即采取行动的“官方”文件。这些文件的熟悉格式和专业外观能够建立信任，使人更容易点击，并降低最初的怀疑。
在企业环境中，PDF 文件在各部门和供应商之间不断流转。这种持续的传播使得恶意文件能够绕过基本的过滤机制，到达非技术用户手中，他们可能在没有任何警告的情况下打开这些文件。
行业报告（例如 ESET 的报告）将恶意 PDF 列为通过电子邮件传播的网络钓鱼活动中最常见的检测对象之一，证实了它们在当前威胁形势中的重要性。
识别危险 PDF 的标志
在打开文件之前，建议先查看一些在实际营销活动中常见的指标。这些指标越多，风险的可能性就越大。
- 可疑链接：指向陌生域名、缩短地址或未加密网站的超链接。»
- 不寻常的权限或操作：请求“启用”功能、下载外部内容或运行嵌入元素。
- 印刷错误、奇怪的字体或糟糕的设计：有操纵或快速组装的迹象。
- 异常体重：文件内容与其承诺的内容相比出奇地轻，或者文件内容过于沉重而没有任何解释。
- 误导性的名称和扩展名：“Invoice.pdf”、“document.pdf”或类似“document.pdf.exe”的组合。
- 压缩附件：ZIP 或 RAR 内的 PDF 可逃避电子邮件过滤器。
- 可疑发件人：与其声称代表的实体不匹配的地址或域中的细微变化。
恶意 PDF 可以做什么
危险文件不仅仅会下载病毒；它还会触发复杂的操作，造成严重的安全影响：
- 安装或下载恶意软件：从木马和间谍软件到勒索软件，通常通过隐藏脚本或链接。
- 窃取信息：凭证、银行数据和敏感文件可能会在用户不知情的情况下被泄露。
- 利用漏洞:: Adobe Acrobat 或 Foxit 等阅读器中的缺陷允许远程代码执行。
- 有针对性的攻击：针对目标公司环境定制的文件，以提高欺诈有效性。
PDF入侵的常见案例和技术
安全调查记录了一些攻击活动，这些活动通过伪装成公共管理部门信息的PDF文件，诱使用户下载Grandoreiro等银行木马程序。这种策略结合了社会工程学和伪装链接，旨在窃取用户的金融凭证。
另一种已知的技术是嵌入一个 Office 文档和一个 OpenAction，该 OpenAction 会在 PDF 打开时运行，从而利用 Microsoft Office 中的旧漏洞，例如CVE-2017-11882。这可能导致恶意软件静默安装或打开后门。
至于借口，攻击者通常会使用付款通知、发票、所谓的退款、医疗结果或银行通信记录。他们的目的是营造紧迫感和可信度，诱使收件人打开文件。
如何在打开 PDF 之前分析和检查它
采用验证流程可以显著降低风险。这些做法有助于在问题文件造成损害之前将其过滤掉。
- 使用多重防病毒服务扫描文件 在打开之前，请先尝试 VirusTotal。
- 检查发件人：检查完整地址、域名和可能存在的微妙模仿。
- 检查实际名称和扩展名 的文件；警惕双重扩展。
- 避免打开压缩的 PDF 收到的内容没有上下文或不是您预料到的。
- 在 PDF 阅读器中禁用 JavaScript 如果不需要它并阻止外部程序的执行。
- 保持您的 PDF 阅读器和系统保持最新 堵住可利用的漏洞。
- 使用“强化”或安全模式的阅读器 限制危险功能。
如果你已经打开了可疑的 PDF 文件该怎么办
如果您怀疑自己接触了恶意文件，请迅速采取行动，缩小影响范围。及早应对至关重要。
- 断开设备与互联网的连接 切断与命令和控制服务器的通信。
- 运行全面扫描 使用反恶意软件解决方案并审查异常的流程或任务。
- 更改敏感密码 （电子邮件、银行、企业网络）来自受信任的设备。
- 监控银行账户并通知您的机构 如果您检测到异常活动。
- 在公司，通知 IT 团队 启动遏制、遥测和法医分析。
针对企业的额外措施
在组织中，防御必须将技术与训练相结合。预防性政策和控制措施会降低这些行动的成功率。
- 邮件过滤器和沙盒 在将附件和 URL 发送给用户之前对其进行分析。
- 阻止 JavaScript 和二进制执行的策略 来自 PDF 阅读器。
- 补丁管理 继续在办公系统和应用程序中使用。
- 网络钓鱼意识和模拟 对员工进行信号检测培训。
- 最小特权和分段原则 如果发生入侵，则限制横向移动。
只要养成基本的验证习惯并使用合适的工具，就能识别并阻止危险的PDF文件。了解危险PDF的迹象、理解其风险并知道如何应对，有助于降低风险，维护设备和机密信息的安全。