Adobe Acrobat用戶請注意：在微軟禁用宏后 利用PDF投毒正在增加 – 藍(lán)點(diǎn)網(wǎng)
此前微軟已經(jīng)通過 Office 更新默認(rèn)禁用來自網(wǎng)絡(luò)的用戶意微用宏用辦公文檔中的宏，以前這類宏是請注黑客的鐘愛之一，針對商業(yè)用戶的軟禁釣魚郵件通常都會制作所謂的訂單或者報(bào)價信息，誘導(dǎo)用戶啟用宏，后利進(jìn)而執(zhí)行宏里面包含的投毒惡意腳本。
現(xiàn)在這條路已經(jīng)不太容易走了，正增所以不少黑客將目標(biāo)轉(zhuǎn)向 PDF 文檔，加藍(lán)針對 Adobe Acrobat 用戶們發(fā)起釣魚。點(diǎn)網(wǎng)
為什么主要是用戶意微用宏用針對 Adobe Acrobat 呢？因?yàn)檫@款軟件在國外非常流行并且具有交互功能，如果只是請注拿 Chrome 打開 PDF，那黑客暗藏的軟禁各種交互式惡意代碼基本是無法運(yùn)行的 (除非 Chrome 的 PDF 引擎也包含漏洞)。
這種情況分為兩種，后利第一種是投毒針對包含漏洞的 Adobe Acrobat Reader 這類，第二種則是正增針對不含漏洞的，那就得用戶手動交互。加藍(lán)
針對包含漏洞的 Adobe Acrobat：
攻擊者一般會精心制作包含惡意代碼的 PDF 文檔，然后通過電子郵件或其他渠道進(jìn)行分發(fā)，在過時且未安裝補(bǔ)丁的 Adobe Acrobat 上，PDF 直接使用 MSHTA 執(zhí)行嵌入的 JavaScript 腳本，然后調(diào)用 powershell.exe 執(zhí)行惡意腳本加載一系列惡意負(fù)載并讓自己具有持久性，即重啟后惡意軟件也會跟著重啟。
整個過程都是自動化的，只需要用戶使用 Adobe Acrobat 打開這個 PDF 文件即可。
針對不包含漏洞的 Adobe Acrobat：
在新版本 Acrobat 上 Adobe 已經(jīng)禁用執(zhí)行 JavaScript 腳本，為此黑客會通過 PDF 彈出一個對話框要求重定向到外部網(wǎng)站。
這個外部網(wǎng)站也會下載 JavaScript 腳本并命名為具有誘導(dǎo)性的內(nèi)容，引導(dǎo)用戶打開這個 JavaScript 腳本，執(zhí)行后也會下載一系列負(fù)載。
接下來就是黑客的各種躲避操作了，例如要規(guī)避 Microsoft Defender 的查殺、修改 UAC 賬戶控制相關(guān)的注冊表項(xiàng)、禁用 Windows 防火墻等，當(dāng)然也包括利用一些方式進(jìn)行權(quán)限提升。
完成這些操作后實(shí)際上被感染的設(shè)備就已經(jīng)成了肉雞，整個設(shè)備不存在任何私密性，如果黑客愿意，那么都可以隨時獲取各種機(jī)密數(shù)據(jù)，比如安插個鍵盤記錄器。
發(fā)布以上研究報(bào)告的邁克菲安全團(tuán)隊(duì)建議用戶：
- 驗(yàn)證電子郵件發(fā)件人信息
- 點(diǎn)擊鏈接和看到警告時請三思而行
- 檢查拼寫和語法錯誤
- 謹(jǐn)慎對待電子郵件中的內(nèi)容
- 驗(yàn)證異常請求
- 使用電子郵件垃圾過濾器
- 檢查 HTTPS 連接
- 刪除可疑電子郵件
- 保持 Windows 和安全軟件為最新版
- 使用最新且已經(jīng)修復(fù)的 Adobe Acrobat Reader
