p2u 824 Опубликовано Февраль 21, 2009 http://www.theregister.co.uk/2009/02/20/ad...reader_exploit/ Эксперты в области безопасности предупреждают о наличии непропатченной уязвимости в программе Adobe Reader, которую хакеры используют для установки вредоносных приложений на компьютеры ничего не подозревающих пользователей.Уязвимость подтверждена для версий приложения с номерами 8.1.3 и 9.0.0, работающими в среде операционной системы Windows XP Service Pack 3, а в руководстве по данной проблеме, выпущенном Shadowserver, предполагается также, что она будет работать и с другими операционными системами семейства Windows. В среде ОС Linux и Apple OS X тестирование не проводилось, однако они также могут оказаться подверженными нападению. Существует множество вариантов данного эксплоита, один из которых устанавливает троян Gh0st RAT. Некоторые антивирусные приложения уже способны определять вредоносные PDF. Сканером Trend Micro вирус определяется как ROJ_PIDIEF.INand, а программа от Symantec помечает инфекцию как Trojan.Pidief.E. Обе компании присвоили данной угрозе низкий уровень опасности, однако такие выводы были сделаны на основе анализа недельной давности, поэтому у хакеров было время на то, чтобы сделать нападение более опасным. Компания Adobe выпустила по поводу этого инцидента соответствующее руководство, в котором признало дыру критической, сообщив при этом, что патч для последней версии Acrobat Reader выйдет 11 марта, а обновления более ранних вариантов программы придется ждать еще дольше. Опасный PDF использует уязвимость в вызове не javascript-процедуры и при помощи javascript осуществляет “heap-spray”-атаку, приводящую к внедрению в кучу шелл-кода. Shadowserver рекомендует отключить javascript в Acrobat Reader, сделать это можно, открыв Edit > Preferences > JavaScript и сняв галочку с пункта Enable Acrobat JavaScript. Сам хочу отметить, что более надёжно это сделать через реестр: HKEY_CURRENT_USER>Software>Adobe>AcrobatReader>ваша версия>JSPrefsbEnableJS DWORD = 0 Paul 5 Поделиться сообщением Ссылка на сообщение Поделиться на другие сайты
Кирилл Керценбаум 671 Опубликовано Февраль 21, 2009 p2u также хочу добавить что у компании Symantec есть еще две сигнатуры для определения вирусов эксплуатирующих данную уязвимость: эвристическая АВ сигнатура Bloodhound.PDF.6 и сигнатура системы IPS HTTP Acrobat Suspicious Executable File Download. Каждая из них способна остановить любой вариант вредоносного кода, пытающийся эксплуатировать Adobe Acrobat and Reader PDF File Handling Remote Code Execution Vulnerability Поделиться сообщением Ссылка на сообщение Поделиться на другие сайты
Ego1st 95 Опубликовано Февраль 21, 2009 а еще легче использовать альтернативу Acrobat Reader=) Поделиться сообщением Ссылка на сообщение Поделиться на другие сайты
Кирилл Керценбаум 671 Опубликовано Февраль 21, 2009 а еще легче использовать альтернативу Acrobat Reader=) А кто гарантирует что в аналоге не будет уязвимостей? И кто их будет устранять, если он еще и бесплатным будет? Поделиться сообщением Ссылка на сообщение Поделиться на другие сайты
Winsent 10 Опубликовано Февраль 21, 2009 И кто их будет устранять, если он еще и бесплатным будет? А кто устраняет в бесплатном adobe reader Поделиться сообщением Ссылка на сообщение Поделиться на другие сайты
Кирилл Керценбаум 671 Опубликовано Февраль 21, 2009 А кто устраняет в бесплатном adobe reader Дык дырки то у генератора и бесплатной читалки Acrobat одни и те же, и сам формат pdf Adobe принадлежит, поэтому он и устраняет Поделиться сообщением Ссылка на сообщение Поделиться на другие сайты
p2u 824 Опубликовано Февраль 21, 2009 а еще легче использовать альтернативу Acrobat Reader=) А кто гарантирует что в аналоге не будет уязвимостей? И кто их будет устранять, если он еще и бесплатным будет? Проблема в том, что: * есть поддержка в браузере (его надо бы убрать - нет необходимости читать документы PDF в он-лайне. Я убрал всю поддержку, и скачаю документ автоматически. Дома читаю - так спокойнее. * ява-скрипт включён в этом reader'е по умолчаню (кому он нужен, для того, чтобы просто читать документ PDF?!) Любой альтернативный reader, который имеет такие же 'свойства' будет атаковен с таким же успехом. Paul Поделиться сообщением Ссылка на сообщение Поделиться на другие сайты
ak_ 395 Опубликовано Февраль 21, 2009 Foxit Reader 3.0 тоже подвержен данной уязвимости? Поделиться сообщением Ссылка на сообщение Поделиться на другие сайты
p2u 824 Опубликовано Февраль 21, 2009 Foxit Reader 3.0 тоже подвержен данной уязвимости? К данной именно уязвимости - не могу сказать; не думаю. Могу только сказать, что часто, при попытке воспроизводить дыры Acrobat'a в Foxit Reader, находят другие, похожие дыры. Paul Поделиться сообщением Ссылка на сообщение Поделиться на другие сайты
Андрей-001 1099 Опубликовано Февраль 21, 2009 Я убрал всю поддержку, и скачаю документ автоматически. Дома читаю - так спокойнее. Вот и я о том же писал в прошлом году. Подобная тема >>> А если браузер IE, то на всякий случай ещё и убрать из него (или отключить) все надстройки от Adobe. Поделиться сообщением Ссылка на сообщение Поделиться на другие сайты
p2u 824 Опубликовано Февраль 21, 2009 А если браузер IE, то на всякий случай ещё и убрать из него (или отключить) все надстройки от Adobe. Это надо по-любому делать, даже если браузер по умолчанию НЕ IE! И ещё поставить kill-bit (отключить ActiveX) для него во всяком случае: Windows Registry Editor Version 5.00[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{CA8A9780-280D-11CF-A24D-444553540000}]"Compatibility Flags"=dword:00000400 Paul Поделиться сообщением Ссылка на сообщение Поделиться на другие сайты
Андрей-001 1099 Опубликовано Февраль 22, 2009 И ещё поставить kill-bit (отключить ActiveX) для него во всяком случае Килбитнуть бедного Ослика?! А с чем же он тогда останется? Порожняком будет ходить? См. http://t.foto.radikal.ru/0703/f8afd8a7195a.jpg Поделиться сообщением Ссылка на сообщение Поделиться на другие сайты
p2u 824 Опубликовано Февраль 22, 2009 Килбитнуть бедного Ослика?! Нет... Это kill-bit на Acrobat Reader (чтобы он больше вообще не вызывался в пространстве IE)... Paul Поделиться сообщением Ссылка на сообщение Поделиться на другие сайты
Андрей-001 1099 Опубликовано Февраль 22, 2009 в пространстве IE)... А в FF (Огненном Лисе)? Кажись уже где-то было... Поделиться сообщением Ссылка на сообщение Поделиться на другие сайты
p2u 824 Опубликовано Февраль 22, 2009 А в FF (Огненном Лисе)? Кажись уже где-то было... Он не поддерживает ActiveX. Я там просто удалил nppdf32.dll (и ещё один - уже не помню) из папки Program Files/Mozilla Firefox/plugins вместе со всеми остальными библиотеками, который Firefox грузит (плееры всякие). Не хотят (или не умеют) безопасно программировать? Ну, и не надо; весь мусор на помойку... Paul Поделиться сообщением Ссылка на сообщение Поделиться на другие сайты
p2u 824 Опубликовано Март 6, 2009 Didier Stevens наглядно демонстрирует, с чем мы здесь имеем дело: открывать документ .pdf не обязательно - дело в том, что создаётся как бы туннель к explorer.exe через элементы Acrobat Reader в контекстном меню Проводника. Посмотрим (есть ещё ссылки в статье, но я их не проверял). Качество ролика, к сожалению, не очень хорошее, но суть всё равно понятна:Первый раз автор просто выделяет документ (не открывает документ!) - этого достаточно для того, чтобы запустить эксплойт. Второй раз автор использует 'Вид' файлов с параметром 'Thumbnails' - этого достаточно для того, чтобы запустить эксплойт. Третий раз автор просто ведёт мышку в сторону документа, запускается AcroRd32Info.exe, который нам показывает свойства документа (сотрудничество с проводником) - и этого достаточно для того, чтобы запустить эксплойт. P.S.1: Отключить ява-скрипт в Reader'e (как Adobe советует) НЕ спасает. P.S.2: Патч ожидается примерно 11 Марта... Paul Поделиться сообщением Ссылка на сообщение Поделиться на другие сайты
p2u 824 Опубликовано Март 10, 2009 Acrobat 9.1 выпустили. Обновления для версии 7 и 8 позже будут... http://www.adobe.com/support/security/advi.../apsa09-01.html Английская версия (не знаю даже, существует ли русская): http://download.adobe.com/pub/adobe/reader...dr910_en_US.exe Осторожно во время установки - по рассказам предлагается Google Toolbar... Paul Поделиться сообщением Ссылка на сообщение Поделиться на другие сайты
Андрей-001 1099 Опубликовано Март 20, 2009 не знаю даже, существует ли русская... Уже существует: Вот она >>> (24 Мб) Поделиться сообщением Ссылка на сообщение Поделиться на другие сайты