Güvenlik araştırmacıları, Adobe Acrobat'ın güvenlik yazılımının açıldığı PDF dosyalarına görünürlüğe sahip olmasını engellemeye çalıştığını ve kullanıcılar için bir güvenlik riski oluşturduğunu buldu.
Adobe’nin ürünü, 30 güvenlik ürününden gelen bileşenlerin işlemlerine yüklenip yüklenmediğini kontrol ediyor ve muhtemelen bunları engelleyerek esasen kötü niyetli etkinlik izlemelerini reddediyor.
Bir güvenlik aracının çalışması için, sistemdeki tüm işlemlere görünürlüğe ihtiyaç duyar, bu da dinamik bağlantı kütüphaneleri (DLL'ler) makinede başlatılan yazılım ürünlerine enjekte ederek elde edilir.
PDF dosyaları geçmişte sistemde kötü amaçlı yazılım yürütmek için istismar edildi. Bir yöntem, kötü niyetli etkinlik için PowerShell komutlarını çalıştırmak için belgenin "OpenAction" bölümüne bir komut eklemek, siber güvenlik şirketi Minerva Labs'taki araştırmacıları açıklamaktır.
“2022 Mart ayından bu yana, Adobe Acrobat okuyucu süreçlerinde kademeli bir artış gördük.
Bu hafta bir rapora göre, liste çeşitli satıcıların güvenlik ürünlerinden 30 DLL içerecek şekilde büyüdü. Tüketicilerle daha popüler olanlar arasında Bitdefender, Avast, Trend Micro, Symantec, Malwarebebytes, ESET, Kaspersky, F-Secure, Sophos, Emsisoft var.
Sistemin sorgulanması, çok çeşitli programlar tarafından kullanılan bir krom gömülü çerçeve (CEF) dinamik bağlantı kütüphanesi olan 'libcef.dll' ile yapılır.
Krom DLL, çatışmalara neden oldukları için kara listeye alınacak kısa bir bileşen listesi ile birlikte gelirken, bunu kullanan satıcılar değişiklik yapabilir ve istedikleri DLL ekleyebilirler.
Araştırmacılar, “libcef.dll'nin iki adobe işlemi tarafından yüklendiğini açıklıyor: acrocef.exe ve rdrcef.exe”, böylece her iki ürün de aynı güvenlik ürünlerinin bileşenleri için sistemi kontrol ediyor.
Adobe süreçlerine enjekte edilen DLL'lerle neler olduğuna daha yakından baktığımızda, Minerva Labs, Adobe'nin kayıt defteri anahtarı altında bblockdllinjeksiyon değerinin olup olmadığını kontrol ettiğini buldu. Antivirüs yazılımının DLL'lerinin süreçlere enjekte edilmesini önleyin.
Adobe Reader ilk kez çalıştığında kayıt defteri anahtarının değerinin "0" olduğunu ve herhangi bir zamanda değiştirilebileceğini belirtmek gerekir.
“Kayıt Defteri Anahtar Adı Dblockdllinjection ve CEF belgesine bakıldığında, kara listeye alınan DLL'lerin boşaltılacak şekilde belirlendiğini varsayabiliriz” - Minerva Labs
Minerva Labs araştırmacısı Natalie Zargarov'a göre, kayıt defteri anahtarının varsayılan değeri '1' olarak ayarlandı - aktif engellemeyi gösteriyor. Bu ayar, işletim sistemine veya yüklü Adobe Acrobat sürümüne ve sistemdeki diğer değişkenlere bağlı olabilir.
28 Mart'taki Citrix Forums'daki bir yayında, bir Adobe ürününün kurulması nedeniyle Sophos AV hatalarından şikayet eden bir kullanıcı, şirketin “akrobat ve okuyucu için DLL enjeksiyonunu devre dışı bırakmayı önerdiğini söyledi.
BleepingComputer'a yanıt veren Adobe, kullanıcıların bazı güvenlik ürünlerinden DLL bileşenleri nedeniyle Adobe Acrobat’ın CEF kütüphanesinin kullanımı ile uyumsuz olduğu için sorun yaşadıklarını bildirdi.
“Güvenlik araçlarından gelen bazı DLL'lerin Adobe Acrobat’ın CEF kullanımı ile bağdaşmadığı ve sınırlı bir sanal alan tasarımına sahip krom bazlı bir motorla uyumsuz olduğunun ve dengesizlik sorunlarına neden olabileceğinin farkındayız” - Adobe
Şirket, şu anda bu satıcılarla sorunu ele almak ve “Acrobat'ın CEF kum havuzu tasarımıyla doğru işlevselliği sağlamak için” çalıştığını ekledi.
Minerva Labs araştırmacıları, Adobe'nin uyumluluk sorunlarını çözen ancak güvenlik yazılımının sistemi korumasını önleyerek gerçek bir saldırı riski getirdiğini savunuyor.
BleepingComputer, DLL engellemesinin meydana geldiği koşulları açıklamak için Adobe ile iletişime geçti ve bilgileri aldıktan sonra makaleyi güncelleyecek.
Bu Wondershare pdfelement anlaşması PDF'lerle çalışmayı basitleştiriyor
Ukrayna'da Kobalt Strike Dağıtmak İçin Kullanılan Sahte Antivirüs Güncellemeleri
Trend Micro, Casusluk İçin Sömürülen Böcek Çinli Bilgisayar Hacker'larını Düzeltiyor
PDF, Microsoft Word Doc'u Snake Keylogger Kötü Yazılım
Sophos Antivirus sürücüsü Windows KB5013943 güncellemesinden sonra BSOD'ye neden oldu
Kaynak: Bleeping Computer