Car-tech

Forskare: Nollagd PDF-exploatering påverkar Adobe Reader 11, tidigare versioner

Adobe Acrobat Pro 2020 Install and Crack 100% Permanent | Free PDF Editor | Acrobat Pro Lifetime

Adobe Acrobat Pro 2020 Install and Crack 100% Permanent | Free PDF Editor | Acrobat Pro Lifetime
Anonim

Forskare från säkerhetsföretag FireEye hävdar att angripare aktivt använder en exekvering av extern kodkörning som fungerar mot de senaste versionerna av Adobe Reader 9, 10 och 11.

"Idag identifierade vi att en PDF-nolldagars sårbarhet exploateras i naturen och vi observerade framgångsrikt utnyttjande på den senaste Adobe PDF Reader 9.5.3, 10.1.5 och 11.0.1 ", sa FireEye-forskarna sent i tisdag i ett blogginlägg.

Utnyttjandet faller och laddar två DLL-filer på systemet. En fil visar ett falskt felmeddelande och öppnar ett PDF-dokument som används som avfrostning, sa FireEye-forskarna.

[Ytterligare läsning: Så här tar du bort skadlig kod från din Windows-dator]

Utförandet av fjärrkod utövar regelbundet att den riktade program för att krascha. I det här sammanhanget används det felaktiga felmeddelandet och det andra dokumentet troligen för att lura användare att tro att kraschen var resultatet av ett enkelt fel och programmet lyckades.

Samtidigt installerar den andra DLL en skadlig komponent som kallar Tillbaka till en fjärransluten domän, sade FireEye-forskarna.

Det är inte klart hur PDF-utnyttjandet levereras i första hand - via e-post eller via webben - eller som var målen för attackerna med den. FireEye svarade inte omedelbart på en begäran om ytterligare information som skickades onsdagen.

"Vi har redan skickat provet till Adobe-säkerhetsteamet", sa FireEye-forskarna i blogginlägget. "Innan vi får bekräftelse från Adobe och en begränsningsplan finns tillgänglig, föreslår vi att du inte öppnar några okända PDF-filer."

Adobe Product Security Incident Response Team (PSIRT) bekräftade tisdag i ett blogginlägg att det undersöker en rapport om en sårbarhet i Adobe Reader och Acrobat XI (11.0.1) och tidigare versioner utnyttjas i det vilda. Risken för kunderna utvärderas, sade laget.

Som svar på en begäran om statusuppdatering skickad onsdag sa Heather Edell, Adobes chef för företagskommunikation, att företaget fortfarande undersöker.

Sandboxing är en anti-exploateringsteknik som isolerar ett programs känsliga operationer i en strikt kontrollerad miljö för att förhindra att angripare skriver och utför skadlig kod på det underliggande systemet, även efter att ha utnyttjat en sårbarhet för extern kodkörning i programmets kod.

En framgångsrik utnyttja ett sandboxprogram skulle behöva utnyttja flera sårbarheter, inklusive en som gör det möjligt för exploateringen att fly från sandlådan. Sådana sandkassettspårningssvårigheter är sällsynta, eftersom koden som implementerar den faktiska sandlådan vanligen granskas noggrant och är ganska liten i längd jämfört med programmets övergripande kodbas som kan innehålla sårbarheter.

Adobe lade till en sandlåsmekanism för att isolera skrivoperationer som heter Protected Läge i Adobe Reader 10. Sandboxen utvidgades ytterligare för att täcka skrivskyddade operationer också i Adobe Reader 11, genom en andra mekanism som heter Protected View.

I november rapporterade säkerhetsforskare från det ryska säkerhetsföretaget Group-IB att ett utnyttjande för Adobe Reader 10 och 11 såldes på cybercriminal forum för mellan $ 30.000 och $ 50.000. Utnyttjandets existens var inte bekräftad av Adobe vid den tiden.

"Innan sandlådan introducerades var Adobe Reader en av de mest riktade tredjepartsprogrammen av cyberkriminella", Bogdan Botezatu, en äldre e-hotanalytiker på antivirus säljare BitDefender, sa onsdag via email. "Om detta bekräftas är upptäckten av ett hål i sandlådan av avgörande betydelse och kommer definitivt att utnyttjas massivt av cyberkriminella."

Botezatu anser att omgå Adobe Reader-sandlådan är en svår uppgift, men han förväntade sig att detta skulle hända någon gång eftersom det stora antalet Adobe Reader-installationer gör produkten till ett attraktivt mål för cyberkriminella. "Oavsett hur mycket företag investerar i testning, kan de fortfarande inte se till att deras applikationer är buggfria när de används på produktionsmaskiner," sa han.

Tyvärr har Adobe Reader-användare inte många alternativ att skydda sig om en sandbox bypassing exploit existerar faktiskt, förutom att vara extremt försiktig med vilka filer och länkar de öppnar, sade Botezatu. Användare bör uppdatera sina installationer så snart en patch blir tillgänglig, sa han.