Shadow Attack позволяет подменить содержимое подписанных PDF-документов

Shadow Attack позволяет подменить содержимое подписанных PDF-документов

Популярные десктопные приложения для просмотра PDF-файлов уязвимы перед новой атакой, позволяющей киберпреступникам модифицировать содержимое подписанных документов в формате PDF. Из 28 проанализированных приложений 15 допускают такую форму атаки.

Список уязвимого софта включает всем знакомые имена: Adobe Acrobat Pro, Adobe Acrobat Reader, Perfect PDF, Foxit Reader, PDFelement.

Специалисты Рурского университета в Бохуме в своём отчёте (PDF) представили таблицу, на которой отражена степень опасности при использовании той или иной программы для просмотра PDF-файлов:

 

Исследователи назвали новую форму атаки Shadow Attack, её суть кроется в использовании так называемых слоёв просмотра — разных наборов содержимого, которые перекрывают друг друга внутри PDF-документа.

Shadow Attack подразумевает, что атакующий должен отправить жертве документ с разными слоями контента. Жертва затем подписывает документ с помощью цифровой подписи, поскольку верхний слой контента вполне безобиден. Заключительным этапом атаки злоумышленник, получив подписанный документ, переставляет местами слои и меняет его содержимое.

При этом изменение видимости слоёв никак не повлияет на цифровую подпись.

 

По словам специалистов, существуют три способа атаки Shadow Attack:

  1. Спрятать — злоумышленник использует функцию PDF Incremental Update, позволяющую спрятать слой без его замены.
  2. Замена — атакующий использует функцию Interactive Forms для замены оригинального контента модифицированным.
  3. Спрятать и заменить — преступник использует второй PDF-документ, находящийся в первом.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

В 30% кибератак злоумышленники используют легитимные инструменты

Приблизительно 30% кибератак, в расследовании которых принимала участие «Лаборатория Касперского», отличались использованием легитимных инструментов, предназначенных для удалённого управления и администрирования. По словам экспертов, такой подход позволяет атакующим достаточно долго скрывать следы своей активности.

По оценкам «Лаборатории Касперского» в среднем атака кибершпионажа длится 122 дня. Именно за эти четыре месяца киберпреступники успевают похитить конфиденциальные данные.

Самым популярным у злоумышленников стал PowerShell, который встречался экспертам в каждой четвёртой атаке. С помощью этого инструмента можно как собирать данные, так и управлять вредоносными программами.

В 22% зафиксированных инцидентов преступники прибегали к использованию утилиты PsExec, с помощью которой можно удалённо запускать программы на компьютерах жертв.

И последним в тройке оказался инструмент SoftPerfect Network Scanner, позволяющий сканировать сети. Его специалисты встретили в 14% атак.

В «Лаборатории Касперского» подчеркнули, что использование легитимных инструментов существенно затрудняет обнаружение вторжения киберпреступников. Это можно объяснить тем, что с помощью этих же утилит выполняются вполне безобидные задачи, рядовые.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru