Критична уязвимост позволява компрометиране само при отваряне на файл
Нова опасна кампания използва непоправена уязвимост (zero-day) в Adobe Reader, като атакува потребители чрез специално създадени PDF документи. Атаките са активни поне от декември насам и продължават да представляват сериозна заплаха.
Разкритието е направено от изследователя по киберсигурност Хайфей Ли, основател на платформата EXPMON, който описва експлойта като изключително сложен и адаптивен.
„Fingerprinting“ атака с висока степен на прецизност
Според анализа, атаката използва т.нар. „fingerprinting“ техника – подход, при който зловредният PDF събира информация за системата на жертвата, за да прецени как да продължи експлоатацията.
Най-притеснителното е, че:
- не се изисква никакво допълнително действие от страна на потребителя
- достатъчно е единствено отварянето на PDF файла
- уязвимостта работи и в последните версии на софтуера
Какво могат да постигнат атакуващите
Зловредните документи използват вътрешни API функции на Adobe, като util.readFileIntoStream и RSS.addFeed, за да:
- извличат локална информация от системата
- подготвят последващи атаки
- потенциално изпълняват зловреден код
Това отваря възможност за:
- RCE (отдалечено изпълнение на код)
- sandbox bypass атаки
- пълен контрол върху компрометираната система
Допълнителен контекст – фишинг с руски елементи
Друг анализатор, известен като Gi7w0rm, установява, че част от зловредните PDF файлове съдържат примамки на руски език, свързани с актуални събития в нефтената и газовата индустрия.
Това подсказва за целенасочени атаки, вероятно насочени към конкретни организации или региони.
Липса на кръпка и препоръки
Към момента Adobe е уведомена за проблема, но все още няма наличен официален ъпдейт за сигурност.
До издаването на корекция, експертите препоръчват:
- да не се отварят PDF файлове от непознати източници
- да се засили мониторингът на мрежовия трафик
- да се блокират заявки със специфични индикатори (напр. „Adobe Synchronizer“ в User-Agent)
Повишено ниво на заплаха
Според изследователите, комбинацията от:
- нулев ден
- липса на потребителско взаимодействие
- възможност за пълен контрол
прави тази уязвимост особено опасна. Случаят подчертава необходимостта от повишена бдителност при работа с PDF файлове – дори когато идват от привидно легитимни източници.
