PDF ファイルは、職場、学校、政府機関で文書を共有するための推奨形式になりましたが、その普及により、攻撃者の頻繁な標的にもなっています。 多くの詐欺やマルウェア攻撃は、一見正当な PDF を装っています。 電子メールで届いたり、Web ページからダウンロードされたりします。
その汎用性は諸刃の剣です。テキストや画像に加えて、PDFには リンク、フォーム、マルチメディア、埋め込みドキュメント、スクリプトこの柔軟性は日常生活を楽にする一方で、サイバー犯罪者がコードを隠したり、ファイルを開いたときにアクションをトリガーしたり、ユーザーを悪意のあるサイトにリダイレクトしたりすることを可能にします。カスペルスキーのような企業やINCIBEのような組織は、 リスクの兆候を早期に検知する 攻撃対象領域を減らすために重要です。
PDFがサイバー犯罪者を引きつける理由
他の形式とは異なり、PDF ではさまざまなオブジェクトや自動化を組み込むことができます。 攻撃者は、OpenAction、JavaScript、埋め込みファイルなどの機能を悪用します。 コマンドを実行したり、外部コンテンツをダウンロードしたり、被害者を偽の Web サイトに誘導したりします。
トリックは多くの場合、外観にあります。請求書、給与明細書、銀行通知、または急いでいるように促す「公式」通信などです。 形式の親しみやすさと文書のプロフェッショナルな外観により、信頼が生まれます。クリックしやすくなり、最初の疑いが減ります。
企業環境では、PDF は部門間やサプライヤー間で絶えず循環しています。 この継続的なフローにより、悪意のあるファイルが基本的なフィルターを通過し、技術者以外のユーザーに届くようになります。、警告サインに気づかずに開けてしまう可能性があります。
ESETなどの業界レポートでは、 注目すべき検出例の中には悪意のあるPDFも含まれている 電子メールで配布されるフィッシング キャンペーンで使用され、現在の脅威の状況におけるその重要性が確認されています。
危険なPDFを識別するための兆候
ファイルを開く前に、実際のキャンペーンでよく繰り返されるいくつかの兆候を確認することをお勧めします。 シグナルが蓄積されるほど、リスクの可能性は高まる:
- 不審なリンク: 奇妙なドメイン、短縮アドレス、または暗号化されていないサイトを指すハイパーリンク。
- 異常な権限またはアクション: 機能を「有効にする」、外部コンテンツをダウンロードする、または埋め込まれた要素を実行するためのリクエスト。
- 誤植、奇妙なフォント、ずさんなデザイン: 操作または急速な組み立ての兆候。
- 異常体重: 内容に対して驚くほど軽いファイル、または説明もなく過度に重いファイル。
- 誤解を招く名前と拡張子: 「Invoice.pdf」、「document.pdf」、または「document.pdf.exe」などの組み合わせ。
- 圧縮された添付ファイル: 電子メール フィルターを回避するために PDF を ZIP または RAR で圧縮します。
- 疑わしい送信者: 代表すると主張するエンティティと一致しないアドレス、またはドメイン内の小さなバリエーション。
悪意のあるPDFができること
危険な文書はウイルスをダウンロードするだけではありません。 セキュリティに重大な影響を与える複雑なアクションを引き起こす可能性がある:
- マルウェアをインストールまたはダウンロードする: トロイの木馬やスパイウェアからランサムウェアまで、多くの場合は隠しスクリプトやリンクを介して侵入します。
- 情報を盗む: 認証情報、銀行データ、機密ファイルが、ユーザーに気付かれずに流出する可能性があります。
- 脆弱性を悪用する: : Adobe Acrobat や Foxit などのリーダーの欠陥により、リモートでコードが実行される可能性があります。
- 標的型攻撃: 不正行為の有効性を高めるために、対象企業の環境に合わせてカスタマイズされた文書。
PDF侵入の一般的なケースと手法
セキュリティ調査では、次のようなキャンペーンが記録されている。 バンキング型トロイの木馬のダウンロードにリンクされたPDF Grandoreiro氏のように、通信内容を行政機関からのメッセージに偽装する手口も存在します。この手口は、ソーシャルエンジニアリングと偽装リンクを組み合わせ、金融機関の認証情報を盗み出すというものです。
もう一つのよく知られた手法は、 埋め込まれたOfficeドキュメントとOpenAction PDFを開いたときに実行されるようにし、古い脆弱性を利用して、 CVE-2017-11882 Microsoft Office では、マルウェアがサイレントインストールされたり、バックドアが開かれたりする可能性があります。
口実として、攻撃者はしばしば 支払通知、請求書、返金の申し立て、医療結果、銀行との連絡目標は、アーカイブの公開を推進するための緊急性と信頼性を生み出すことです。
PDFを開く前に分析してチェックする方法
検証プロセスを採用すると、リスクが大幅に軽減されます。 これらの方法は、問題のあるファイルが被害をもたらす前に除外するのに役立ちます。:
- マルチウイルス対策サービスでファイルをスキャンする 開く前にVirusTotalなどのツールを使ってみてください。
- 送信者を確認する: 完全なアドレス、ドメイン、および微妙ななりすましの可能性を確認します。
- 実際の名前と拡張子を調べる ファイルの二重拡張子には注意してください。
- 圧縮されたPDFを開かないようにする 文脈なしで、または予期せずに受け取られました。
- PDFリーダーでJavaScriptを無効にする 必要がない場合は、外部プログラムの実行をブロックします。
- PDFリーダーとシステムを最新の状態に保つ 悪用される可能性のある脆弱性を解消します。
- 「強化」またはセキュアモードのリーダーを使用する 危険な機能を制限します。
疑わしいPDFをすでに開いてしまった場合の対処法
悪意のあるファイルを操作した疑いがある場合は、その影響範囲を制限するために迅速に行動してください。 早期の対応が違いを生む:
- 機器をインターネットから切断する コマンドアンドコントロールサーバーとの通信を遮断します。
- フルスキャンを実行する マルウェア対策ソリューションを使用して、異常なプロセスやタスクを確認します。
- 機密パスワードを変更する 信頼できるデバイスから (電子メール、銀行、企業ネットワーク) にアクセスできます。
- 銀行口座を監視し、金融機関に通知する 異常なアクティビティを検出した場合。
- 企業ではITチームに通知する 封じ込め、テレメトリ、法医学的分析を有効化します。
企業向けの追加措置
組織における防御は、テクノロジーとトレーニングを組み合わせる必要があります。 予防策や管理策は、これらのキャンペーンの成功率を低下させる。:
- メールフィルターとサンドボックス 添付ファイルと URL をユーザーに配信する前に分析します。
- JavaScriptとバイナリの実行をブロックするポリシー PDF リーダーから。
- パッチ管理 オフィスシステムやアプリケーションでも継続されます。
- フィッシングの認識とシミュレーション 信号検出についてスタッフを訓練する。
- 最小権限とセグメンテーションの原則 侵入が発生した場合に横方向の移動を制限します。
基本的なチェック習慣と適切なツールがあれば、 危険な PDF を識別し、適時にブロックすることが可能です。兆候を知り、リスクを理解し、対応方法を知ることは、リスクを軽減し、デバイスと機密情報を安全に保つのに役立ちます。