De Belgische beveiligingsonderzoeker Didier Stevens ontwikkelde onlangs een gratis tool voor het detecteren van kwaadaardige PDF-bestanden, die nu ook aan VirusTotal is toegevoegd. Geprepareerde PDF-documenten worden regelmatig bij gerichte aanvallen ingezet. Veel slachtoffers beseffen niet dat het openen van een PDF-bestand net zo gevaarlijk als het openen van een executable kan zijn. Daarnaast blijkt dat veel PDF-lezers, zoals Adobe Reader, niet worden geupdate. PDFiD controleert PDF-bestanden door naar verschillende elementen te kijken die op een kwaadaardig document kunnen duiden.

Update 13:10
Didier Stevens stuurde ons de volgende aanvullende informatie. "Het tooltje is toegevoegd aan VirusTotal voor het geval geen enkele virusscanner een malware in de PDF detecteert. Dit gebeurt wel vaker met nieuwe exploits. PDFiD toont een statistiek van basiselementen in de PDF. Al deze cijfers worden uitgelegd op de pagina van het tooltje zelf.

Maar in een notedop: als de PDF JavaScript bevat (/JS en/of /JavaScript verschillend van 0) en een automatische actie onderneemt (/OpenAction en/of /AA verschillend van 0), dan is de kans groot dat het om een malicious PDF document gaat. Het tooltje houd ook rekening met mogelijk obfuscation van de PDF names. De meeste virusscanners houden hier geen rekening mee. Het is dus een triage tool voor het geval virusscanners niets detecteren, het vervangt een virusscanner niet."

Verdere ontwikkelingen die Stevens van plan is toe te voegen:

• Dumpen van de timestamps.
  
• Berekenen van de entropie in en buiten de streams.
  
• Decompressen van object streams + scannen van de objects bevat in deze object streams.
  
• Bewaren van het PDF bestand in een aangepaste vorm zodat de JavaScript en automatische acties uitgeschakeld worden.