Shadow Attack позволяет подменить содержимое подписанных PDF-документов

Shadow Attack позволяет подменить содержимое подписанных PDF-документов

Shadow Attack позволяет подменить содержимое подписанных PDF-документов

Популярные десктопные приложения для просмотра PDF-файлов уязвимы перед новой атакой, позволяющей киберпреступникам модифицировать содержимое подписанных документов в формате PDF. Из 28 проанализированных приложений 15 допускают такую форму атаки.

Список уязвимого софта включает всем знакомые имена: Adobe Acrobat Pro, Adobe Acrobat Reader, Perfect PDF, Foxit Reader, PDFelement.

Специалисты Рурского университета в Бохуме в своём отчёте (PDF) представили таблицу, на которой отражена степень опасности при использовании той или иной программы для просмотра PDF-файлов:

 

Исследователи назвали новую форму атаки Shadow Attack, её суть кроется в использовании так называемых слоёв просмотра — разных наборов содержимого, которые перекрывают друг друга внутри PDF-документа.

Shadow Attack подразумевает, что атакующий должен отправить жертве документ с разными слоями контента. Жертва затем подписывает документ с помощью цифровой подписи, поскольку верхний слой контента вполне безобиден. Заключительным этапом атаки злоумышленник, получив подписанный документ, переставляет местами слои и меняет его содержимое.

При этом изменение видимости слоёв никак не повлияет на цифровую подпись.

 

По словам специалистов, существуют три способа атаки Shadow Attack:

  1. Спрятать — злоумышленник использует функцию PDF Incremental Update, позволяющую спрятать слой без его замены.
  2. Замена — атакующий использует функцию Interactive Forms для замены оригинального контента модифицированным.
  3. Спрятать и заменить — преступник использует второй PDF-документ, находящийся в первом.

Под видом новой Kingston DDR5 покупателю продали перепаянную DDR4

Пользователь соцсети X под ником watagjt столкнулся с необычной подделкой оперативной памяти. Купленный им якобы новый модуль Kingston Fury Beast DDR5-5600 объёмом 32 ГБ внешне не вызывал подозрений, но работать отказался. После снятия радиатора выяснилось: на плату DDR5 установили микросхемы DDR4.

Упаковка выглядела нераспечатанной, радиатор, наклейка и маркировка — стандартно.

Модуль выдавал себя за Kingston KF556C40BB-32 с частотой 5600 МГц и таймингами CL40.


Под радиатором обнаружились следы флюса и пустые контактные площадки, указывающие на перепайку. При этом на самих микросхемах красовалась маркировка Micron 2UG45 D8DDZ. Код D8DDZ действительно относится к чипам DDR5-5600, поэтому по одной надписи подвох заметить было практически невозможно.


Подделку выдала физическая конструкция. Некоторые микросхемы Micron DDR4 выпускаются в корпусах размером 9 × 11 мм — таких же, как DDR5. Однако их BGA-разводка различается: у DDR4 предусмотрено 78 контактов, а у DDR5 — 82. Чипы удалось припаять к плате, но часть площадок осталась незадействованной, поэтому модуль оказался электрически несовместимым и не мог запуститься.

Пока радиатор находился на месте, увидеть следы переделки и лишние контакты было невозможно. Владелец посоветовал осторожнее относиться к подозрительно дешёвой памяти, даже если продавец клянётся, что упаковку никто не вскрывал.

RSS: Новости на портале Anti-Malware.ru