Foxit PDF Reader 设计缺陷使用户容易受到攻击

Check Point Research 发现 PDF 漏洞正在广泛传播，主要针对 Foxit Reader 用户。通过触发安全警告，毫无戒心的用户可能会被欺骗执行有害命令。

许多攻击者已经在利用该漏洞，该漏洞利用了“福昕阅读器（Foxit Reader）中警告消息的设计缺陷”。

尽管 Adobe Acrobat Reader 在市场上占据主导地位，但 Foxit Reader 已成为重要的参与者，在全球拥有超过 7 亿用户，其中包括政府和技术领域的主要客户。

当用户打开已更改的 PDF 文件时，该漏洞会触发安全警告。如果粗心的用户两次使用默认选项（这是最有害的），该漏洞就会从远程服务器下载并执行有效负载。

研究人员表示：“感染成功且检测率低，使得恶意 PDF 可以通过许多非传统方式（例如 Facebook）进行传播，而不会被任何检测规则阻止。”

受害者场景如下所示：打开文件时，我们遇到第一个弹出窗口，默认选项‘信任一次’，这是正确的方法。

“一旦点击‘确定’，目标就会出现第二个弹出窗口。如果目标用户有机会阅读第一条消息，则第二条消息将在不阅读的情况下“同意”。在这种情况下，威胁行为者正在利用这种有缺陷的逻辑和常见的人类行为，这提供了最“有害”的默认选择。”

默认选项触发恶意命令

该漏洞的用途广泛，从间谍活动到具有多个链接和工具的电子犯罪，可实现令人印象深刻的攻击链。

在一个实例中，标记为 APT-C-35 / DoNot Team 的攻击者获得了针对 Windows 和 Android 设备执行混合活动的能力，“这也导致了双因素身份验证 (2FA) 被绕过”。

研究人员表示：“各种网络犯罪行为者也利用了这一漏洞，传播最著名的恶意软件系列，例如 VenomRAT、Agent-Tesla、Remcos、NjRAT、NanoCore RAT、Pony、Xworm、AsyncRAT、DCRat。”

在一次恶意活动中，Check Point 跟踪了通过 Facebook 分发的链接，这导致了很长的攻击链，系统被安装了一个信息窃取木马和两个加密货币挖矿木马。

另一项活动是由黑客组织 @silentkillertv 发起的，他利用了两个链接的 PDF 文件，其中一个托管在合法网站 trello.com 上。

复杂的攻击链

“Check Point 获得了攻击者拥有的多个构建器，这些构建器利用此漏洞创建恶意 PDF 文件。收集到的大多数 PDF 都在执行 PowerShell 命令，该命令从远程服务器下载有效负载然后执行，尽管在某些情况下使用了其他命令。”报告中写道。

PDF 命令执行分析

研究人员将此 PDF 漏洞归类为针对 Foxit PDF Reader 用户的网络钓鱼或社会工程形式，而不是典型的恶意活动。攻击者需要诱骗用户习惯性地单击“确定”，而不了解所涉及的潜在风险。

Foxit Reader承认了该问题，并向Check Point表示将在2024 3版本中解决该问题。安全专家建议用户在打开未知来源的PDF文件时注意并谨慎行事。

详细技术报告：

https://blog.checkpoint.com/research/foxit-pdf-reader-flawed-design-hidden-dangers-lurking-in-common-tools/

https://research.checkpoint.com/2024/foxit-pdf-flawed-design-exploitation/

参考链接：https://cybernews.com/news/foxit-pdf-reader-exploit/