Car-tech

Mga mananaliksik: Ang pang-araw-araw na pagsasamantala ng PDF ay nakakaapekto sa Adobe Reader 11, mas naunang mga bersyon

Acrobat: Creating custom dynamic stamps | lynda.com

Acrobat: Creating custom dynamic stamps | lynda.com
Anonim

Ang mga mananaliksik mula sa security firm na FireEye ay nag-aangkin na ang mga attacker ay aktibong gumagamit ng remote code execution exploit na gumagana laban sa mga pinakabagong bersyon ng Adobe Reader 9, 10 at 11.

"Ngayon, nalaman namin na ang isang PDF na zero-day [kahinaan] ay pinagsamantalahan sa ligaw, at naobserbahan namin ang matagumpay na pagsasamantala sa pinakabagong Adobe PDF Reader 9.5.3, 10.1.5, at 11.0.1, "sinabi ng mga mananaliksik ng FireEye sa huli Martes sa isang post sa blog.

Ang pagsasamantala ay bumaba at naglo-load ng dalawang mga file ng DLL sa system. Ang isang file ay nagpapakita ng isang error na mensahe na mali at nagbukas ng isang dokumentong PDF na ginagamit bilang isang pang-aabuso, sinabi ng mga mananaliksik ng FireEye.

[Karagdagang pagbabasa: Paano tanggalin ang malware mula sa iyong Windows PC]

mga programa na bumagsak. Sa ganitong konteksto, ang pekeng mensahe ng error at ikalawang dokumento ay malamang na ginagamit upang linlangin ang mga gumagamit sa paniniwalang ang pag-crash ay ang resulta ng isang simpleng pagkasira at matagumpay na nakuha ang programa.

Samantala, ang ikalawang DLL ay nag-install ng isang malisyosong component na tawag bumalik sa isang malayong domain, sinabi ng mga mananaliksik ng FireEye.

Hindi malinaw kung paano naihatid ang pinagsamang PDF sa unang lugar-sa pamamagitan ng email o sa Web-o kung sino ang mga target ng pag-atake gamit ito. Hindi agad sumagot ang FireEye sa isang kahilingan para sa karagdagang impormasyon na ipinadala Miyerkules.

"Naipasa na namin ang sample sa koponan ng seguridad ng Adobe," sabi ng mga mananaliksik ng FireEye sa post sa blog. "Bago kami makakakuha ng kumpirmasyon mula sa Adobe at isang plano ng pagpapagaan ay magagamit, iminumungkahi namin na hindi mo mabubuksan ang anumang di-kilalang mga PDF file."

Ang Koponan ng Pagkakaroon ng Insidente ng Tugon ng Produkto ng Produkto ng Adobe Product (PSIRT) nakumpirma Martes sa isang blog post na sinisiyasat ng isang ulat ng isang kahinaan sa Adobe Reader at Acrobat XI (11.0.1) at mga naunang bersyon na pagsasamantala sa ligaw.

Bilang tugon sa isang kahilingan para sa isang pag-update ng katayuan na ipinadala Miyerkules, sinabi ni Heather Edell, senior manager ng corporate communications ng Adobe, na ang kumpanya ay sinisiyasat pa rin.

Sandboxing ay isang pamamaraan ng anti-pagsasamantala na naghihiwalay sa mga sensitibong operasyon ng programa sa isang mahigpit na kinokontrol na kapaligiran upang maiwasan ang mga sumasalakay sa pagsulat at pagsasagawa ng malisyosong code sa nakabatay na sistema kahit na pagkatapos na gamitin ang isang tradisyunal na remote code na kahinaan sa pagpapatupad sa code ng programa.

Ang isang matagumpay Ang pagsasamantala laban sa isang sandboxed na programa ay kailangang magamit ang maraming mga kahinaan, kabilang ang isa na nagpapahintulot sa pagsasamantala upang makatakas mula sa sandbox. Ang mga naturang sandbox bypass na mga kahinaan ay bihira, dahil ang code na nagpapatupad ng aktwal na sandbox ay kadalasang sinusuri nang mabuti at medyo maliit ang haba kung ihahambing sa pangkalahatang basehan ng programa na maaaring maglaman ng mga kahinaan.

Nagdagdag ang Adobe ng isang mekanismo ng sandbox upang ihiwalay ang mga operasyong write na tinatawag na Protected Mode sa Adobe Reader 10. Ang sandbox ay karagdagang pinalawak upang masakop ang mga read-only na operasyon pati na rin sa Adobe Reader 11, sa pamamagitan ng isang pangalawang mekanismo na tinatawag na Protected View.

Bumalik noong Nobyembre, ang mga mananaliksik sa seguridad mula sa kompanya ng seguridad ng Russian Group-IB ay nag-ulat na Ang isang pagsasamantala para sa Adobe Reader 10 at 11 ay ibinebenta sa cybercriminal forums sa pagitan ng $ 30,000 at $ 50,000.

"Bago ang pagpapakilala ng sandbox, ang Adobe Reader ay isa sa mga pinaka-target na mga application ng third-party sa pamamagitan ng mga cybercriminal," Bogdan Botezatu, isang senior e-threat analyst sa antivirus vendor BitDefender, sinabi Miyerkules sa pamamagitan ng email. "Kung ito ay nakumpirma, ang pagtuklas ng isang butas sa sandbox ay mahalaga sa kahalagahan at tiyak na maging massively pinagsamantalahan ng cybercriminals."

Naniniwala si Botezatu na ang pag-bypass sa sandbox ng Adobe Reader ay isang mahirap na gawain, ngunit inaasahan niyang mangyari ito sa ilang punto dahil ang malaking bilang ng mga pag-install ng Adobe Reader ay gumagawa ng produkto na isang kaakit-akit na target para sa mga cybercriminal. "Hindi mahalaga kung gaano kalaki ang namumuhunan sa pagsusulit, hindi pa rin nila matiyak na ang kanilang mga aplikasyon ay libre kapag inilunsad sa mga makina ng produksyon," aniya.

Sa kasamaang palad, ang mga gumagamit ng Adobe Reader ay walang maraming opsyon upang maprotektahan ang kanilang sarili kung Ang umiiral na paggamit ng sandbox ay talagang umiiral, maliban sa labis na maingat sa kung ano ang mga file at mga link na binubuksan nito, sinabi ni Botezatu. Dapat na i-update ng mga user ang kanilang mga pag-install sa lalong madaling magagamit ang isang patch, sinabi niya.