Hackeri zneužívajú dieru v softvéri, ktorý sa nachádza prakticky na každom PC. Stačí otvoriť infikovaný súbor a máš problém
Bezpečnostní analytici varujú pred útokom, ktorý cieli na používateľov programu Adobe Reader. Hackeri v ňom zneužívajú vážnu chybu ukrytú v škodlivých PDF súboroch.
Hackeri zneužili vážnu chybu v populárnom programe Adobe Reader a podľa bezpečnostných expertov ju aktívne využívali už od decembra. Problém spočíva v takzvanej „zero-day“ zraniteľnosti, teda chybe, ktorú vývojári ešte neopravili a útočníci ju medzitým stihli využiť v reálnych útokoch. Na tému upozornil server bleepingcomputer.com.
Na celú situáciu upozornil bezpečnostný výskumník Haifei Li, ktorý založil platformu EXPMON na odhaľovanie exploitov. Podľa jeho zistení útočníci nasadili mimoriadne sofistikovaný útok ukrytý v PDF súboroch. Nešlo pritom o primitívne triky, ktoré sa v online priestore objavujú častejšie. Exploit pracoval s takzvaným „fingerprintingom“, teda prispôsobením útoku konkrétnemu zariadeniu alebo používateľovi.
Stačilo, že užívateľ otvoril infikovaný PDF súbor
„Tento exploit zneužil neopravenú zero-day zraniteľnosť, ktorá fungovala aj na najnovšej verzii Adobe Readera bez potreby akejkoľvek interakcie, stačilo otvoriť súbor,“ upozornil Li.
Po preniknutí do systému útočníci nezostali pasívni. Využili interné funkcie Adobe Readera, konkrétne API nástroje ako util.readFileIntoStream a RSS.addFeed, aby získali prístup k dátam uloženým v zariadení. Následne tieto informácie odoslali preč a v niektorých prípadoch pripravili pôdu pre ďalšie útoky. Li upozornil, že týmto to nekončilo. Útočníci si otvorili dvere k ešte nebezpečnejším scenárom.
„Tento exploit umožnil nielen zbierať a kradnúť lokálne informácie, ale aj spustiť ďalšie útoky, ktoré mohli viesť k úplnému ovládnutiu systému,“ vysvetlil.
To už znamená oveľa viac než len únik dát. V praxi by útočník získal kontrolu nad počítačom, mohol by inštalovať ďalší škodlivý softvér, sledovať aktivitu alebo zariadenie zneužiť na ďalšie útoky.
Zaujímavý detail priniesol aj ďalší analytik vystupujúci pod prezývkou Gi7w0rm. Ten sa pozrel na samotné PDF súbory a všimol si, že obsahovali lákadlá v ruštine. Témy sa týkali aktuálneho diania v ruskom ropnom a plynárenskom priemysle, čo naznačuje, že útočníci cielili na konkrétnu skupinu ľudí alebo región.
Neprehliadni
Nešlo teda o náhodný spam, ale o premyslenú kampaň s jasným zámerom. Dobrou správou zatiaľ zostáva aspoň to, že problém nezostal utajený. Li kontaktoval spoločnosť Adobe a poskytol jej všetky potrebné informácie. Firma však v čase zverejnenia útokov ešte nevydala opravu, takže zraniteľnosť zostala aktívna.
Dávaj si pozor na podozrivé súbory
Kým Adobe neprinesie aktualizáciu, odborníci odporúčajú jednoduché, ale účinné opatrenie, neotvárať PDF súbory z neznámych alebo nedôveryhodných zdrojov. Platí to aj v prípade, že dokument vyzerá na prvý pohľad legitímne.
Zároveň treba dodať, že veľa prehliadačov už natívne podporuje otváranie PDF súborov, čiže Adobe Reader vôbec nepotrebuješ. Ak si kupoval počítač niekedy v posledných 15 rokoch, pravdepodobne si si na Adobe Reader ani nespomenul. Napriek tomu ide o softvér, ktorý sa nachádza v mnohých zariadeniach aj na Slovensku. Hoci sa Adobe Reader už hodnú chvíľu nepoužíva na otváranie bežných PDF, stále ide o go-to softvér na otváranie dôležitejších dokumentov, napríklad dynamických PDF, XFA formulárov alebo digitálne podpisovanie dokumentov.
Bezpečnostné tímy vo firmách môžu útoky zachytiť aj technicky. Li odporučil sledovať sieťovú komunikáciu a blokovať podozrivú prevádzku, najmä požiadavky s reťazcom „Adobe Synchronizer“ v hlavičke User-Agent.
„Schopnosť tejto zraniteľnosti zbierať veľké množstvo informácií a pripraviť ďalšie útoky stačí na to, aby bezpečnostná komunita zostala v pohotovosti,“ dodal Li.
Celý prípad opäť ukázal, že aj bežné súbory ako PDF môžu predstavovať riziko. Stačil jeden nepozorný klik a útočník získal prístup tam, kde by ho nikto nečakal.
