Специалист по кибербезопасности компании Check Point Ассаф Бахарав (Assaf Baharav) обнаружил уязвимости в стандарте PDF, позволяющие выкрасть учетные данные Windows. Посвященное этой проблеме исследование компания опубликовала на своем сайте.
Незащищенность PDF дает возможность получить хеши NTLM (протокола аутентификации), которые хранят данные для доступа к компьютеру.
Для исследования Бахарав создал PDF-документ, в котором потенциально могут использоваться функции Go To Remote и Go To Embedded (удаленный доступ и внешние вставки). Алгоритмы устроены таким образом, что при открытии файла документ самостоятельно отправляет запрос на удаленный SMB-сервер. Все запросы сетевого протокола включают аутентификацию с помощью хешей NTLM: учетные данные пользователя будут сохранены. Хакеру лишь остается прописать путь до вредоносного сервера.
Инициирование запросов SMB из документов, созданных через программы в системе Windows, часто становится способом организации кибератаки. В начале 2018 года сообщалось об идентичных действиях хакеров, основанных на рассылке спам-писем со специально созданным файлом Word, который при загрузке самостоятельно устанавливает вредоносное программное обеспечение и пересылает пароли на удаленный сервер.