Les pirates informatiques ont ciblé les utilisateurs de PDF avec une nouvelle technique d’injection. Les pièces jointes au format PDF ont été couramment utilisées comme cheval de Troie qui télécharge des malwares ou des ransomwares sur les appareils des utilisateurs de courrier électronique sans méfiance.
Cependant, les pirates ciblent maintenant les fichiers PDF eux-mêmes en utilisant des techniques d’injection de code. L’une de ces attaques, découverte au début du mois, permet aux pirates d’injecter du code qui lance des attaques de type « cross-site scripting » (XSS) dans le document PDF lui-même. L’objectif final de ces attaques est d’extraire des données sensibles des fichiers PDF.
Qu’est-ce qu’une attaque XSS ?
Selon l’OWASP (Open Web Application Security Project), les attaques XSS sont couramment utilisées pour injecter des scripts malveillants dans des sites web bénins et fiables. L’OWASP a classé les attaques XSS dans son Top 10 des menaces pour la sécurité des applications web depuis qu’il a commencé à publier cette célèbre liste il y a près de 20 ans.
Lorsqu’il est utilisé au sein d’applications web, le navigateur de l’utilisateur final n’a aucun moyen de savoir que le script malveillant ne doit pas être fiable et l’exécute. Une fois le script exécuté, l’attaquant peut accéder à des cookies, des jetons de session ou d’autres informations sensibles conservées par le navigateur de l’utilisateur lors d’une session web. Les exploits XSS peuvent être mis en œuvre n’importe où avec une application web.
Pourquoi les attaques par injection de PDF constituent-elles une menace ?
Les pirates n’utilisent pas d’attaques par injection pour accéder aux fichiers PDF ordinaires des bureaux. La véritable cible est constituée par les fichiers PDF générés côté serveur qui sont créés en permanence dans le monde numérique actuel. Ils se présentent sous la forme de billets électroniques, de reçus, de cartes d’embarquement, de factures, de fiches de paie, etc. Si des pirates informatiques parviennent à accéder à ces documents et à influencer la structure du PDF lui-même, ils peuvent injecter du code et capturer les données incluses.
Par exemple, si un pirate peut contrôler une partie d’un PDF qui contient des coordonnées bancaires, ces coordonnées peuvent être exfiltrées et téléchargées vers un site malveillant. Quand on sait la quantité de fichiers PDF avec lesquels nous travaillons tous, on comprend pourquoi les pirates les ciblent avec autant de vigueur.
Comment fonctionne l’attaque par injection de PDF ?
La menace d’injection de PDF récemment découverte fonctionne de la même manière que la méthode traditionnelle d’attaque des applications web. Dans le cas des fichiers PDF, les pirates profitent de ce que l’on appelle les caractères d’échappement, en particulier les barres obliques inverses et les parenthèses. Ces caractères d’échappement sont généralement utilisés pour accepter les entrées de l’utilisateur dans les flux de texte ou les URL d’annotation. Cela ouvre la porte à un pirate informatique qui peut ainsi injecter ses propres URL ou code JavaScript.
En injectant leurs propres caractères d’échappement, les pirates peuvent injecter leur propre code. L’injection d’un simple lien peut facilement compromettre l’ensemble du contenu d’un PDF, selon l’un des chercheurs qui ont découvert la méthodologie d’attaque. Cette méthodologie d’attaque a été démontrée lors d’une récente conférence en ligne de Black Hat en Europe ce mois-ci, montrant à quel point il était facile de télécharger des données exfiltrées sur un serveur distant en utilisant un simple lien injecté. Les présentateurs ont également révélé le fait que certaines des plus grandes bibliothèques PDF du monde sont vulnérables aux attaques par injection.
Comment éviter une telle attaque ?
Ce qui rend les attaques XSS possibles, c’est un codage bâclé. De la même manière que les utilisateurs ordinaires prennent des raccourcis lorsqu’il s’agit de créer un mot de passe, les développeurs de code prennent souvent des raccourcis lorsqu’ils écrivent du code Web 2.0. Dans le cas des injections de fichiers PDF, cela est dû au fait que les bibliothèques PDF ne parviennent pas à analyser correctement le code de ces types de caractères d’échappement dans les formats non protégés.
Dans le cas d’une vulnérabilité spécifique, Adobe a publié le 9 décembre une mise à jour de sécurité qui corrige cette faille de sécurité. Si votre organisation crée des PDF sous quelque forme que ce soit, il est fortement recommandé d’installer immédiatement la mise à jour.
TitanHQ peut vous aider à vous protéger contre les menaces liées aux PDF
Bien que TitanHQ ne puisse pas vous aider à analyser vos bibliothèques PDF, nous pouvons vous protéger des pièces jointes PDF infectées par des malwares. Notre solution avancée de sécurité des e-mails, appelée SpamTitan, est conçue pour découvrir et éradiquer les pièces jointes qui contiennent des virus et des codes malveillants. Pour ce faire, elle utilise une double protection antivirus et des techniques de sandboxing.
Prenez contact avec l’un des membres de l’équipe SpamTitan pour savoir comment mieux vous protéger contre les pièces jointes infectées par des malwares.