PDF als bevorzugte Waffe von Cyberkriminellen

Gängige Angriffsvektoren 

Nachdem wir uns nun mit der Architektur von PDFs befasst haben, wollen wir uns ansehen, wie sie von Cyberkriminellen kompromittiert und verwendet werden.

Ähnlich wie MS Office-Dokumente sind PDF-Dateien seit vielen Jahren weit verbreitet. Neben ihrer Popularität und der Tatsache, dass es sich um ein plattformübergreifendes Format handelt, sind PDF-Dateien für Bedrohungsakteure sehr attraktiv und werden als Ausgangspunkt für die Infiltration verwendet.

Von einem einfachen Phishing-Angriff bis hin zu einem ausgeklügelten Exploit kann PDF auf viele Arten als Waffe eingesetzt werden.

Phishing

Als PDF zu einem beliebten Dokumentformat wurde, erkannten Cyberkriminelle die Möglichkeit, mithilfe von Social Engineering-Techniken Phishing-PDFs bereitzustellen.

Wie bei Office-Dokumenten sind E-Mail-Anhänge zum wichtigsten Verbreitungsmedium geworden.

Andere Dokumenttypen, wie beispielsweise Office-Dateien, haben sich im Laufe der Jahre einen schlechten Ruf erarbeitet, da sie mit verschiedenen Sicherheitslücken und Makros weit verbreitet ausgenutzt wurden. PDFs wurden in der Vergangenheit als ein sichereres Format angesehen und haben sich aufgrund weniger bekannter Sicherheitsverletzungen und tatsächlicher Bedrohungen den Ruf erworben, weniger gefährlich zu sein.

Phishing-PDFs enthalten normalerweise einen Link zu einer externen URL, die den Benutzer zu folgenden Möglichkeiten weiterleiten soll:

• Phishing-Site: Es könnte eine gefälschte Banking-, Dating-Site oder eine andere E-Commerce-Seite sein, die die Opfer ermutigt, ihre persönlichen Daten einzugeben Informationen, die an den Angreifer gesendet werden.
• Traffic Direction Systems (TDS): Diese Systeme sind ein webbasiertes Gateway, das entwickelt wurde, um den Computer eines Benutzers zu analysieren, um Systemdaten wie Betriebssystem, Standort, Sprache und mehr zu sammeln. Mit TDS kann ein Angreifer das Opfer auf verschiedene Werbe-Websites oder sogar auf eine Malware-Infektionsseite umleiten.
• Malware-Infektionswebsite: Diese Websites enthalten normalerweise Code, der eine schädliche Datei auf den Computer des Opfers herunterlädt.

Diese Methoden sind ziemlich einfach und erfordern keinen sehr erfahrenen Angreifer, um sie auszuführen.

Ein häufiger Trend in den letzten Jahren – ein Captcha-Bild mit einer eingebetteten URL, das das Opfer auf eine Phishing- oder unerwünschte Werbewebsite umleitet.

Aktionen und JavaScript

Die meisten PDF-Benutzer kennen und verwenden PDF-Bearbeitungsfunktionen. Aber es gibt auch eine Funktion namens „Aktionen“, mit der Sie eine Vielzahl von Aufgaben ausführen können, darunter die folgenden:

• Öffnen eines Weblinks
• Öffnen einer Datei
• Ausführen von JavaScript-Code
• Senden eines Formulars
• … und andere Aktionen

Diese Aktionen werden durch „Ereignisse“ ausgelöst. Gängige Beispiele für solche „Ereignisse“ können das Speichern oder Schließen der PDF-Datei, das Klicken mit der Maus usw. sein. Ein Benutzer kann ein Dokument erstellen, das beim Schließen eine Webseite mit einem bestimmten Speicherort öffnet.

Einige der Aktionen und Auslöser, die mit Adobe Acrobat erstellt werden können:

• SubmitForm: Diese Aktion ermöglicht das Senden von Informationen über eine interaktive Formularvorlage an einen vordefinierten Remote-Standort, unter Verwendung von AcroForms oder einer neueren XML Forms Architecture (XFA) von Adobe.
• JavaScript: Wenn vom PDF-Reader vollständig unterstützt, kann JavaScript verwendet werden, um auf jeden Teil des Dokuments zuzugreifen und ihn zu bearbeiten. Es wurde auch verwendet, um die Schwachstellen verschiedener PDF-Reader auszunutzen.
• URL: User können mit verschiedenen Social-Engineering-Methoden dazu gebracht werden, den eingebetteten URLs zu folgen, um Phishing zu begehen oder Opfer einfach dazu zu zwingen, Websites mit unerwünschter Werbung zu besuchen.

Ein Angreifer kann mithilfe von Social Engineering potenzielle Opfer davon überzeugen, das Formular auszufüllen und dann ihre Zugangsdaten an einen Remote-Server weiterzuleiten.

Diese Art von Angriff kann, wie bei den Phishing-Betrügereien, die meisten PDF-Reader und Browser betreffen. Diese Angriffe basieren auf den integrierten Funktionen der Reader und funktionieren immer, wenn die Benutzer dies zulassen, im Gegensatz zur Ausnutzung von Schwachstellen in PDF-Readern.

Neben Phishing kann JavaScript auch zum Senden ausgefüllter Formularinformationen verwendet, sowie für leistungsstarke Aktionen wie das Ausgeben von PowerShell-Befehlen oder das Ablegen einer schädlichen Datei genutzt werden.

Wie wir gesehen haben, kann JavaScript verwendet werden, um Daten zu exfiltrieren und/oder bösartigen Code auf dem Computer des Benutzers auszuführen, aber es ist auch leistungsstark genug, um potenzielle Schwachstellen in PDF-Readern auszunutzen.

Exploits und Schwachstellen

PDF-Dokumente können mit Browsern und PDF-Readern oder speziellen Anwendungen für PDF-Dateien angezeigt werden und können jeweils Schwachstellen aufweisen, die von Bedrohungen ausgenutzt werden können.

Diese Sicherheitsanfälligkeiten können in mehrere Kategorien unterteilt werden, einschließlich, aber nicht beschränkt auf die folgenden:

• Ausführung von willkürlichem Code
• Pufferüberlauf
• Denial-of-Service
• Speicherbeschädigung
• Out-of-bounds Read

Common Vulnerabilities und Exposures (CVE) ist eine Auflistung öffentlich bekannter Sicherheitslücken. Es gibt Hunderte von CVEs für PDF-Reader und fast 300 bekannte Schwachstellen allein für Adobe Acrobat Reader.

Obwohl Unternehmen ihre Produkte regelmäßig aktualisieren, ist es wichtig, sich daran zu erinnern, dass es immer noch viele „Zero Days“ gibt, die noch nicht gemeldet oder entdeckt wurden. Darüber hinaus verwenden viele Benutzer immer noch ältere und ungepatchte Versionen von PDF-Readern und -Browsern.

Sicherheitsforscher und Hacker finden fast täglich neue PDF-bezogene Exploits, wobei „Out-of-bounds-Read“-Schwachstellen eine der häufigsten sind.

Eine Schwachstelle beim Lesen außerhalb der Grenzen tritt auf, wenn ein Programm versucht, Daten vor dem Anfang eines Puffers oder nach seinem Ende zu lesen. In der Informatik ist ein Puffer ein Segment des physischen Speichers, das temporäre Daten speichert, damit sie verwendet werden können.

Dies geschieht normalerweise, wenn ein Zeiger einer arithmetischen Operation zu einer Position außerhalb der Grenzen des zugewiesenen Speichers führt; Dies kann dazu führen, dass das Programm den Speicher zerstört oder beschädigt.

Ein Angreifer kann diese Sicherheitsanfälligkeit zu seinem Vorteil ausnutzen. Durch das Lesen von Speicheradressen oder geheimen Werten außerhalb der Grenzen kann der böswillige Akteur Informationen sammeln, die dazu beitragen können, eine nicht verwandte Schwachstelle auszunutzen und einen beliebigen Code auf dem Computer des Opfers auszuführen.

Hier ist ein Beispiel für diese Sicherheitsanfälligkeit, die in freier Wildbahn ausgenutzt wurde:

CVE-2018-4893: Diese Sicherheitsanfälligkeit tritt als Ergebnis einer Berechnung auf, die Daten liest, die über das Ende des Zielpuffers hinausgehen; die Berechnung ist Teil der XPS (XML Paper Specification) Font-Verarbeitung. Diese im Februar 2018 veröffentlichte kritische Schwachstelle ist zum Zeitpunkt der Erstellung dieses Dokuments bereits dreieinhalb Jahre alt. Trotzdem ist sie immer noch in freier Wildbahn zu sehen.

Anti-Virus-Anbieter im Vergleich zu Mal-PDF 

Unterscheidung zwischen einer Phishing-PDF und einer legitimen PDF kann eine Herausforderung darstellen. Das folgende Beispiel zeigt, wie ähnlich beide Dokumente zu sein scheinen. Sie besitzen einen sehr analogen Aufbau – beide bestehen aus einer Seite mit wenig Text und einem Hyperlink zum Anklicken, der den Nutzer auf eine Webseite umleitet.

Selbst Anbieter von Antivirenprogrammen der nächsten Generation können diese Aufgabe nur schwer bewältigen. Während die Herausforderungen, dies zu mindern, je nach Anbieter unterschiedlich sind, können schlechte Erkennungsfunktionen oder schlechte Identifizierung und Klassifizierung zu einer hohen Falsch-Positiv-Rate führen. Viele Antivirus-Anbieter erkennen Phishing-PDFs nicht richtig.

PDF als bevorzugte Waffe von Cyberkriminellen

Wir haben besprochen, wie PDF-Dokumente aufgebaut sind und welche Aktionen beim Erstellen einer Datei verfügbar sind. Wir haben gesehen, wie ein Angreifer mithilfe von benutzerdefiniertem JavaScript oder integrierten Aktionen eine PDF-Datei erstellen kann, die einen Phishing- oder Malware-Angriff auslöst, oder sogar eine von vielen Schwachstellen ausnutzt, um einen noch wirkungsvolleren Angriff durchzuführen .

Darüber hinaus haben wir gezeigt, wie schwierig es ist, einen Phishing-Versuch von einer legitimen PDF-Datei zu unterscheiden, und dass selbst Antiviren-Anbieter der nächsten Generation solche Angriffe nur schwer erkennen können.

Deep Instinct schützt seine Kunden mit einem robusten Deep-Learning-basierten Schutzmechanismus, der Zero-Day-Bedrohungen in Form von PDF-, PE- und anderen bösartigen Dateien nahtlos verhindern kann.

Wenn Sie mehr über unseren branchenführenden Ansatz zum Stoppen von Malware erfahren möchten, kontaktieren Sie uns und wir richten für Sie eine kostenlose Demo ein.