Eerste echte Launch-aanval in PDF-bestand
Inmiddels zijn ook virusschrijvers bekend met het verstoppen van malware in PDF-bestanden en doen ze dat zonder het gebruik van JavaScript. Laatst werd al gewaarschuwd dat de Zeus Trojan de /Launch feature gebruikt om zichzelf in een PDF-bestand te verbergen. De Belgische onderzoeker Didier Stevens vond een manier om een uitvoerbaar programma in een PDF-bestand te verstoppen, die bij het openen van de PDF werd uitgevoerd. Gebruikers kregen als enige een waarschuwing, maar die is deels door de aanvaller te manipuleren.
In het geval van Zeus gebruikte het Trojaanse paard de Metasploit PDF module, die de /Launch feature niet ten volle gebruikt. "Dat telt dus niet als de eerste aanval", zegt beveiligingsexpert Jeremy Conway.
Vaker
Hij ontdekte een kwaadaardig PDF-bestand dat via een Visual Basic script malware installeert. Voor de aanval is geen JavaScript vereist, maar gebruikers krijgen nog steeds een waarschuwing of ze het bestand willen openen.
"Het slechte nieuws is dat dit pas de eerste poging is die de /Launch actie gebruikt om malware zonder JavaScript te verspreiden en ik wil geen slecht nieuws brengen, maar het zal zeker niet de laatste of meest geraffineerde poging zijn", besluit Conway.
Dus daar moet ook rekening meegehouden worden.
ik ben geen pc-techneut,
ik gebruik zelf "PDF-XChange Viewer", is dat ook kwetsbaar ?
Dus daar moet ook rekening meegehouden worden.
ik ben geen pc-techneut,
ik gebruik zelf "PDF-XChange Viewer", is dat ook kwetsbaar ?
Volg deze link eens en lees.
http://www.security.nl/artikel/33054/1/PDF-XChange_Viewer_update_!.html
Met versie 2.0.50.0 (release 13-04-2010) bestaat er een mogelijkheid om de beveiliging te verbeteren.
Zie:
http://www.security.nl/artikel/33054/1/PDF-XChange_Viewer_update_%21.html
Update naar deze versie 2.0.50.0
Als Administrator: PDF-XChange Viewer \ Help \ Check for Updates.
Na het updaten naar 2.0.50.0,
doe het volgende:
Taakbalk \ Edit \ Preferences \ Categories \ Security \ File Open and Program Launch Actions \
\ Allow Launch Actions \ Kies: "Never"
\ Allow File Attachment opening \ Kies: "Never"
Klik Apply
Klik OK
Zie ook deze afbeelding:
http://img341.imageshack.us/img341/2401/pdfxchangefileopenandpr.jpg
Het volgende is ook verstandig:
Taakbalk \ Edit \ Preferences \ Categories \ JavaScript \ Haal het vinkje weg bij "Enable JavaScript Actions"
Klik Apply
Klik OK
(In de Nederlandstalige instelling is Edit "Bewerken", Preferences is "Voorkeurinstellingen", en Security is "Veiligheid".)
From: "support@mydomain" <support@mydomain>
Subject: setting for your mailbox are changed
SMTP and POP3 servers for user@mydomain mailbox are changed. Please carefully read the attached instructions before updating settings.
En er zit ook een stukje social engineering in om de boodschap van het dialoog venster aan te passen:
Click the "open" button to view this document:)
Dat werkt goed & de gewraakte functie zit er volgens mij niet eens in.
Bovendien ziet het er een stuk beter uit, zowel ten opzichte van Foxit als Adobe (Ja, ook lekker belangrijk! ;-) ).
Met versie 2.0.50.0 (release 13-04-2010) bestaat er een mogelijkheid om de beveiliging te verbeteren.
Zie:
http://www.security.nl/artikel/33054/1/PDF-XChange_Viewer_update_%21.html
Update naar deze versie 2.0.50.0
Als Administrator: PDF-XChange Viewer \ Help \ Check for Updates.
Na het updaten naar 2.0.50.0,
doe het volgende:
Taakbalk \ Edit \ Preferences \ Categories \ Security \ File Open and Program Launch Actions \
\ Allow Launch Actions \ Kies: "Never"
\ Allow File Attachment opening \ Kies: "Never"
Klik Apply
Klik OK
Zie ook deze afbeelding:
http://img341.imageshack.us/img341/2401/pdfxchangefileopenandpr.jpg
Het volgende is ook verstandig:
Taakbalk \ Edit \ Preferences \ Categories \ JavaScript \ Haal het vinkje weg bij "Enable JavaScript Actions"
Klik Apply
Klik OK
(In de Nederlandstalige instelling is Edit "Bewerken", Preferences is "Voorkeurinstellingen", en Security is "Veiligheid".)
nog 1 vraagje, nu ik die instellingen heb veranderd, zijn daar consequenties aan verbonden waar ik moet op letten ?
groet, ben.
nog 1 vraagje, nu ik die instellingen heb veranderd, zijn daar consequenties aan verbonden waar ik moet op letten ?
Um, je hoeft niet zozeer ergens op te letten.
Maar de consequentie van het in PDF-XChange kiezen voor "Never" bij "File Open and Program Launch Actions" is natuurlijk dat launch-acties niet meer uitgevoerd kunnen worden, dus dat een in een pdf verpakt/verstopt uitvoerbaar bestand niet uitgevoerd kan worden. Of zoals Adobe dat zegt: "het openen van niet-PDF bijlagen in externe toepassingen" wordt niet meer toegestaan. Dit is de veiligste instelling.
Voor het uitschakelen van JavaScript geldt een vergelijkbaar verhaal. Uitschakelen is beslist veiliger en vrijwel niemand zal die JavaScript-opties missen.
nog 1 vraagje, nu ik die instellingen heb veranderd, zijn daar consequenties aan verbonden waar ik moet op letten ?
Um, je hoeft niet zozeer ergens op te letten.
Maar de consequentie van het in PDF-XChange kiezen voor "Never" bij "File Open and Program Launch Actions" is natuurlijk dat launch-acties niet meer uitgevoerd kunnen worden, dus dat een in een pdf verpakt/verstopt uitvoerbaar bestand niet uitgevoerd kan worden. Of zoals Adobe dat zegt: "het openen van niet-PDF bijlagen in externe toepassingen" wordt niet meer toegestaan. Dit is de veiligste instelling.
Voor het uitschakelen van JavaScript geldt een vergelijkbaar verhaal. Uitschakelen is beslist veiliger en vrijwel niemand zal die JavaScript-opties missen.
groetjes en miss tot de volgende keer,
ben.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
