Japonya'nın Bilgisayar Acil Müdahale Ekibi (JPCERT), Temmuz 2023'te tespit edilen yeni bir 'PDF'de Maldoc' saldırısı paylaşıyor ve bu da kötü niyetli kelime dosyalarını PDF'lere yerleştirerek tespiti atlıyor.
JPCERT tarafından örneklenen dosya, çoğu tarama motoru ve araç tarafından PDF olarak tanınan bir çok dillidir, ancak ofis uygulamaları bunu normal bir kelime belgesi (.doc) olarak açabilir.
Polyglots, uygulama okumasına/açılmasına bağlı olarak, birden fazla dosya türü olarak yorumlanabilen ve yürütülebilen iki farklı dosya formatı içeren dosyalardır.
Örneğin, bu kampanyadaki kötü niyetli belgeler, her iki dosya biçimi olarak açılabilen PDF ve kelime belgelerinin bir kombinasyonudur.
Tipik olarak, tehdit aktörleri, algılamadan kaçınmak veya analiz araçlarını karıştırmak için çok dil kullanır, çünkü bu dosyalar bir formatta zararsız görünebilir ve diğerinde kötü niyetli kodları gizler.
Bu durumda, PDF belgesi, Microsoft Office'te .doc dosyası olarak açılırsa bir MSI kötü amaçlı yazılım dosyasını indirmek ve yüklemek için VBS makrosuna sahip bir Word belgesi içerir. Ancak, Japonya sertifikası ne tür bir kötü amaçlı yazılım yüklendiğine dair herhangi bir ayrıntı paylaşmadı.
Bununla birlikte, PDF'deki MALDOC, Microsoft Office'teki makroların otomatik olarak yürütülmesini devre dışı bırakan güvenlik ayarlarını atlamadığına dikkat edilmelidir, bu nedenle bunlar, kullanıcıların karşılık gelen düğmeyi tıklayarak veya dosyayı engelleyerek manuel olarak devre dışı bırakması gereken yeterli korumalardır.
JPCERT, PDF dosyalarındaki Maldoc'un nasıl göründüğünü ve Windows'ta çalıştığını göstermek için YouTube'da aşağıdaki videoyu yayınladı.
JPCert, bir dosya türünü diğerine gömmek yeni olmasa da, algılamadan kaçınmak için çok dilli dosyalar dağıtan saldırganlar iyi belgelenmiş olsa da, özel teknik yeni.
PDF'de saldırganlar için MalDoc'un ana avantajı, 'PDFID' veya yalnızca meşru bir PDF yapısı olan dosyanın dış katmanını inceleyecek diğer otomatik analiz araçları gibi geleneksel PDF analiz araçları tarafından tespitten kaçınma yeteneğidir.
Bununla birlikte, JPCert, 'OLEVBA' gibi diğer analiz araçlarının hala çok dilli saklanan kötü niyetli içeriği tespit edebileceğini söylüyor, bu nedenle çok katmanlı savunmalar ve zengin algılama setleri bu tehdide karşı etkili olmalı.
Siber güvenlik ajansı ayrıca araştırmacıların ve savunucuların 'PDF'de Maldoc' tekniğini kullanarak dosyaları tanımlamalarına yardımcı olmak için bir Yara kuralı paylaştı.
Kural, bir dosyanın bir PDF imzasıyla başlayıp başlamadığını ve bir Word belgesi, Excel Çalışma Kitabı veya MHT dosyasını gösteren kalıplar içermediğini kontrol eder, bu da vahşi doğada tespit edilen kaçırma tekniği ile hizalanır.
İşçi Bayramı Satışı! 34,97 $ karşılığında Microsoft Office Home & Business'a lisans alın
Microsoft Office sınırlı bir süre için sadece 35 $ karşılığında satışta
Microsoft Office güncellemesi aktif olarak sömürülen RCE Saldırı Zinciri
Microsoft, Güvenlik Düzeltmeleri ile Temmuz 2019 ofis güncellemelerini yayınladı
Microsoft, Temmuz 2019'da ofis güncellemelerini düzeltmeler, iyileştirmeler
Kaynak: Bleeping Computer