小心！PDF也會藏毒

不明來路的執行檔案連結不能點，這已經是很多人都擁有的資安常識。不過你是否也知道，PDF也有可能成為攻 擊手法的一種？不光如此，最近更有資安研究員展示了不用利用PDF Reader軟體漏洞，就能以社交工程和PDF檔案原本允許的功能，誘騙使用者連上惡意網站或執行惡意程式的手法。



最近，兩位資安研究員，相繼發現了不需要透過漏洞，就能利用PDF原本的功能，進行惡意攻擊的手法，並且公開將過程展示在Youtube上。事實上，透過 PDF這一類文件檔案進行的攻擊手法，已經越來越普遍，這也使得這兩位研究員的發現，掀起了一股風波。

在臺灣，每年行政院國家資通安全會報都會進行「電子郵件社交工程演練」，針對各個機關發送社交工程攻擊手法的模擬攻擊電子郵件，假冒各個不同單位發信，測 試看看有多少人會無預警的打開郵件裡的連結或附檔。以2007年12月的結果來看，平均24.17％的使用者會打開郵件；16.29％的使用者會進一步打 開連結或附件。其中，詐騙成功率最高的，是以夾帶惡意文件檔的方式誘騙使用者點擊。測試中，每年都有5～8％的使用者會打開這樣類型的惡意文件檔案。

與社交工程手法混用，惡意文件檔成為有效攻擊手法
傳統來路不明的執行檔和連結，誘騙使用者點擊的攻擊手法，已經逐漸不那麼有效了；但是文件檔，如PDF、Office文件等，則反而成為了新的可利用手法

不需漏洞，攻擊者也可以透過PDF讓使用者執行程式
透過在PDF檔案中寫入/Launch指令的手法，可以讓使用者只要執行特定的PDF檔案，連帶就自動執行其他任何程式

不要高估PDF的安全性
目前看來，唯一能夠阻止這種手法的防範之道，只有透過偏好設定裡的信任管理程式，把允許使用外部應用程式開啟非PDF檔案附件的選項關掉

社交工程結合惡意文件防不勝防
幾位國外的資安研究員公開展示了不用透過漏洞，直接以社交工程與惡意文件檔案結合的方式，執行惡意程式的手法

可能的攻擊手法
一為先變更Reader的設定，再竊取資料；二為可能透過PDF做DDoS或破壞性的攻擊

防堵PDF文件攻擊的4大方法
雖然目前還沒有完全能夠百分之百防護的有效方法，不過對於企業或組織來說，還是有4個方法可以參考使用，多管齊下降低危險性

http://www.ithome.com.tw/itadm/article.php?c=60768