HackerNews 编译，转载请注明出处： 人人都信任PDF——而这正是网络犯罪分子如此痴迷于它们的原因。 便携式文档格式（Portable Document Format），更常被称为PDF，每天被分发数百万次。从税务文件、简历到发票、数字手册或任何其他信息，都通过电子邮件以PDF附件的形式发送。 PDF简单、跨平台且普遍受信任。它们可以包含图像、可点击链接和看似官方的标识。这使它们成为攻击者想要混入其中的完美载体，也正是黑客们当前痴迷于它们的原因。 过去几个月，网络安全分析师观察到通过PDF文件发起的钓鱼攻击急剧增加。这些PDF被设计成模仿科技巨头和服务提供商的合法通信，以诱骗受害者泄露凭证或下载恶意软件。 根据思科Talos的洞察，在2025年5月5日至6月5日期间，使用PDF附件进行品牌冒充的行为激增。被冒充最多的品牌是微软（Microsoft）和DocuSign。而NortonLifeLock、PayPal和Geek Squad则属于包含PDF附件的电话导向攻击（TOAD）邮件中最常被冒充的品牌之列。 这些钓鱼活动是全球性的，许多源自美国和欧洲的IP地址。 攻击者如何利用PDF？ 最近的一次攻击冒充了微软，使用了诸如“薪资调整”之类的诱饵主题行，时间点特意选在各组织可能发生晋升或绩效变动的时期。 该PDF看起来像一份标准的人力资源文件，足以让受害者相信并扫描其中的二维码，该二维码会将他们重定向到一个窃取凭证的网站。Dropbox也常被用作分发恶意PDF的平台。 然后是电话导向攻击（TOAD）。这些钓鱼PDF的目的不是让受害者简单地点击链接——而是通过电话对他们进行钓鱼。骗子通常会发送关于账单错误、可疑活动或订阅续费的信息，并包含一个“客服”电话号码。 这些邮件诈骗中使用的大多数电话号码是网络电话（VoIP）号码，追踪到真实个人或物理位置的难度远高于普通固话。 骗子还滥用Adobe电子签名服务等合法平台。2025年4月至5月期间，Talos发现了通过Adobe系统发送的PDF，冒充PayPal等品牌。 PDF也是二维码钓鱼的绝佳载体，而二维码钓鱼当下正大行其道。这些二维码通常冒充微软或Adobe等公司。 此外，还有一种危险策略是滥用PDF文件中的注释功能。PDF可以在评论、便签或表单域等地方隐藏链接。所有这些区域都会被许多扫描器忽略。 攻击者还会在文件中填充无关文本来混淆检测引擎。在某些情况下，他们会嵌入两个URL：一个看起来是干净的（用于建立信任），另一个隐藏的URL则会将你带到真正的钓鱼页面。       消息来源： Cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

据Bleeping Computer消息，安全研究人员发现了一种新型的恶意软件传播活动，攻击者通过使用PDF附件夹带恶意的Word文档，从而使用户感染恶意软件。 类似的恶意软件传播方式在以往可不多见。在大多数人的印象中，电子邮件是夹带加载了恶意软件宏代码的DOCX或XLS附件的绝佳渠道，这也是钓鱼邮件泛滥的原因所在。随着人们对电子钓鱼邮件的警惕性越来越高，以此对打开恶意Microsoft Office附件的了解越来越多，攻击者开始转向其他的方法来部署恶意软件并逃避检测。 其中，使用PDF来传播恶意软件就是攻击者选择的方向之一。在HP Wolf Security最新发布的报告中，详细说明了PDF是如何被用作带有恶意宏的文档的传输工具，这些宏在受害者的机器上下载和安装信息窃取恶意软件。 在 PDF 中嵌入 Word 在HP Wolf Security发布的报告中，攻击者向受害人发送电子邮件，附件则是被命名为“汇款发票”的PDF文件，而电子邮件的正文则是向收件人付款的模糊话术。 当用户打开PDF文件时，Adobe Reader会提示用户打开其中包含的DOCX文件。显然，这样的操作很不寻常，让人感到迷之疑惑。因此攻击者巧妙地将嵌入的Word文档命名为“已验证”，那么弹出的“打开文件”提示声明就会变成文件是“已验证的”。 此时，出于对Adobe Reader或其他PDF阅读器的信任，很多用户就会被诱导下载并打开该恶意文件，恶意软件也就进入了受害者的电脑中。 请求操作批准的对话框 (HP) 虽然专业的网络安全研究人员或恶意软件分析师可以使用解析器和脚本检查PDF中的嵌入文件，但是对于普通用户来说，收到此类PDF文件却很难解决其中的问题，往往是在不知情的情况下中招。 因此，许多人可能会在Microsoft Word中打开DOCX文件，如果启用了宏，将从远程资源下载RTF（富文本格式）文件并打开它。 获取 RTF 文件 (HP)的 GET 请求 值得一提的是，攻击者通过编辑好的命令让RTF自动下载，嵌入在 Word 文件中以及硬编码的URL“vtaurl[.]com/IHytw”，这是托管有效负载的位置。 利用旧的漏洞 RTF文档名为“f_document_shp.doc”，包含格式错误的OLE对象，很可能会逃避系统的检测分析。经过一些有针对性的重建后，HP的安全研究人员发现它试图利用旧的Microsoft Equation Editor漏洞来运行任意代码。 呈现有效载荷的解密 shellcode (HP) 部署的shellcode是利用了CVE-2017-11882漏洞，这是方程式编辑器中的一个远程代码执行错误，已于2017年11月修复，但是目前依旧还在被利用。此前，该漏洞披露后就引起黑客的广泛关注，其缓慢的修补过程使其成为2018 年被利用最多的漏洞之一。 通过利用 CVE-2017-11882，RTF中的shellcode下载并运行Snake Keylogger，这是一个模块化的信息窃取程序，具有强大的持久性、防御规避、凭据访问、数据收集和数据泄露功能。 转自 Freebuf，原文链接：https://www.freebuf.com/news/333958.html 封面来源于网络，如有侵权请联系删除