Zero-Day-Warnung in Adobe Reader: nutzen Fingerabdruck stehlen Daten, läuft Code und entkommt Sandbox durch Öffnen eines PDF

Seit mindestens Dezember nutzten bösartige Schauspieler eine Zero-Day-Verwundbarkeit in Adobe Reader durch speziell manipulierte PDF-Dokumente, laut Sicherheitsforscher Haifei Li. Li, Gründer der EXPMON-basierten Explosionserkennungsplattform, warnte, dass es sich um eine hochentwickelte "Fingerprinting" PDF-Explosion handelt, die die Funktionen des Zielsystems identifiziert und einen noch unpatcheden Fehler bei der Ausführung von schädlichen Aktionen durch das Öffnen der Datei nutzt.

Die Hauptsorge ist nicht nur, dass der Angriff ohne mehr Benutzerinteraktion funktioniert, als ein PDF zu öffnen, sondern dass die Operation sowohl die Diebstahl von lokalen Informationen als auch die Möglichkeit, Code später auszuführen und aus der Sandbox zu entkommen, die volle Kontrolle über die verübte Ausrüstung geben könnte. Li weist darauf hin, dass Kampagnen seit Monaten aktiv sind und dass PDFs die privilegierten APIs von Acrobat als util.readFileIntoStream und RSS.add nutzen Füttern Sie Dateien und Daten aus dem System zu extrahieren, sowie laden Sie und führen Sie zusätzliche Gebühren.

Der Forscher selbst veröffentlichte Details und Muster auf seinem technischen Blog, so dass die Gemeinschaft das Muster des Angriffs analysieren kann, und auch seine Ergebnisse in Netzwerken geteilt. Ihre öffentliche Mitteilung ist verfügbar unter: justhaifei1.blogspot.com und seine ersten Beobachtungen im sozialen Netzwerk X Der öffentliche Faden. Ein weiterer als Gi7w0rm bezeichneter Geheimdienstanalyst untersuchte die gleichen PDFs und dokumentierte, dass viele der Köder auf Russisch geschrieben wurden und auf Angelegenheiten des Öl- und Gassektors verwiesen wurden, was auf eine bewusste Wahl des Hakens für bestimmte Publikum hindeutet; seine Analyse ist in Diese Tweet.

Li hat Adobe angemeldet und, während das Unternehmen an einer Lösung arbeitet, empfiehlt extreme Vorsicht: Öffnen von PDFs von unverified oder unerwarteten Sendungen und Berücksichtigung von Minderungsmaßnahmen im Netz. Unter den Strategien, die Netzwerk-Befürworter sofort implementieren können, ist das Monitoring und Blockieren von HTTP / HTTPS-Verkehr, der die "Adobe Synchronizer"-Kette im User-Agent Header enthält, ein Indikator, der in diesen bösartigen Interaktionen beobachtet wird.

Dieser Fall zeigt mehrere Punkte, die man beachten sollte: Erstens, die Natur eines Nulltages impliziert, dass es zum Zeitpunkt der Entdeckung keinen öffentlichen Patch gibt, so dass vorläufige Abschwächung und das präventive Verhalten des Nutzers die erste Verteidigungslinie sind. Zweite, moderne Exploits funktionieren oft in mehreren Phasen: Umwelterkennung, Datenexfiltration und zusätzliche Nutzlasten mit Fernlauf- oder Sandkasten-Auspuffkapazität (CERs / SBX), wodurch sie hohe Risiko-Bedrohungen für Geschäfts- und Inlandsumgebungen. Li's Geschichte in der Offenlegung von ausgenutzten Schwachstellen in realen Umgebungen - einschließlich Berichte von großen Lieferanten Software-Versagen - fügt Gewicht auf den Alarm und die Notwendigkeit, schnelle Maßnahmen zu ergreifen.

Adobe erhielt die Mitteilung, obwohl keine offizielle Antwort oder Sicherheits-Patch veröffentlicht worden, bis die Schließung dieser Notiz. Weitere Informationen zu Korrekturen und Mitteilungen finden Sie auf der offiziellen Sicherheitsseite von Adobe unter: helpx.adobe.com / security.html. Es wird auch empfohlen, Datenbanken und Sicherheitsagenturen wie CISA und NVD von NIST zu überwachen, um die Entstehung formaler Hinweise zu korrodieren: CISA und NVD (NIST).

Da ein Patch ankommt, sollte eine Kombination aus Vorsicht und technischen Kontrollen angewendet werden. Bewahren Sie aktuelle Anwendungen und Betriebssystem auf, öffnen Sie verdächtige Dokumente in isolierten Umgebungen oder virtuellen Maschinen, deaktivieren Sie unnötige Funktionen im PDF-Reader (wie JavaScript läuft in Acrobat) und verwenden Sie Netzwerk-Detektionslösungen, um ungewöhnliche Benutzer-Agent-Muster oder unerwartete Downloads zu identifizieren, kann das Risiko reduzieren. Darüber hinaus können Organisationen mit Sicherheitsrichtlinien die Nutzung von Adobe Reader auf Benutzer beschränken, die es wirklich benötigen oder die Öffnung von PDFs mit weniger integrierten Visiern auf das System zwingen, bis eine Korrektur veröffentlicht wird.

Diese Episode ist eine Erinnerung, dass traditionelle Vektoren - ein attraktives und anscheinend harmloses PDF - für Angreifer wirksam bleiben, wenn sie von unpatched Schwachstellen profitieren. Die Kombination von gerichteten Social Engineering (Zerbros auf Russisch im Zusammenhang mit der Energieindustrie), Fingerabdrucktechniken, um wertvolle Umgebungen zu identifizieren und die Verwendung von Acrobat internen APIs zum Exfiltern von Daten macht diese Kampagne besonders beunruhigend.

Wenn Sie ein unerwartetes PDF erhalten und seinen Ursprung nicht überprüfen können, ist es wahrscheinlich nicht zu öffnen und, wenn Sie in einer Organisation arbeiten, melden Sie es dem Sicherheitsteam für die Analyse. Inländische Benutzer können Dateien mit aktualisierten Antiviren-Lösungen scannen und, im Falle von Verdacht, mit Profis konsultieren, bevor sie mit dem Dokument interagieren. Frühe Verbreitung von Forschern wie Haifei Li hilft, die Community- und Reaktionsteams zu alarmieren, und es ist wichtig, dass Softwareanbieter schnell auf diese Benachrichtigungen reagieren, um das Belichtungsfenster zu schließen.

Um die Warnungen und Analysen der oben genannten Forscher direkt zu lesen, siehe den Haifei Li Thread in X: https: / / x.com / HaifeiLi / status / 2041677065519607917 die zusätzliche Analyse von Gi7w0rm: https: / / x.com / Gi7w0rm / Status / 2042003381158379554, und der technische Eintrag in den Blog des Forschers: justhaifei1.blogspot.com. Wenn Sie sich über offizielle Quellen wie Adobe und Cybersecurity-Agenturen informieren, helfen Sie, zu wissen, wann es sicher ist, Dokumente normalerweise wieder zu öffnen.