PDF通常被认为是安全的文件，无论在邮件附件，还是聊天工具中。但是很遗憾，PDF已成为新型网络攻击的载体，本技术演示了采用PDF走私技术，将URL嵌入至PDF中，只需打开并点击PDF，则触发远程文件下载。这种技术绕过了现代防御系统，极难防御。
高级红队PDF
传统的Office宏已经被微软封死，在这之后，载体出现了html，参见《HTML走私攻击技术演示》，与此技术如出一辙，都是通过正常文件携带恶意文件。旧的PDF钓鱼技术通常使用PDF漏洞，而此方式无需利用漏洞，无需伪装，PDF 弹出一个对话框要求重定向到外部网站。引导用户下载，攻击面更广。
技术采用：
|
|
|
|
|
|
|
《pdfdropper》 |
|
|
|
《PackMyPayload》 |
|
|
|
《间接系统调用APC注入EDR绕过免杀加载器》 |
|
|
|
《完全无法检测的CobaltStrike》 |
视频区域
注意事项
-
1. 微软在2024年6月修复了SmartScreen绕过漏洞，因此，目前通过网页下载的可执行文件，均会被提示。 ![无法被拦截的PDF钓鱼]( "无法被拦截的PDF钓鱼")
-
2. 目前测试了pdf通过Edge浏览器打开，WPS打开均无触发重定向，而最新版Adobe Acrobat Reader存在此问题，由于在国内Adobe比较小众，因此无需过于担心。
推荐阅读
-
• 高级lnk快捷方式，常规杀毒软件无法拦截 -
• [bug修复]完全无法检测的CobaltStrike -
• 完全无法检测的CobaltStrike -
• 堆栈欺骗和内存扫描绕过 -
• 地狱之门进程注入官方免杀插件 -
• Beacon 命令和 OPSEC 操作绕过查杀 -
• 我有关于免杀的2个概念和3个误区要讲 -
• 间接系统调用APC注入EDR绕过免杀加载器 -
• 三步免杀卡巴斯基，免杀数字时长达一周以上 -
• 免杀HelloWorld，0/71通过所有杀软
欢迎点赞分享并留言，同时欢迎关注视频号。
原文始发于微信公众号（白帽子安全笔记）：无法被拦截的PDF钓鱼
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论