Хакеры используют уязвимость нулевого дня в Acrobat Reader с декабря.

[zender]

Злоумышленники используют уязвимость нулевого дня в Adobe Reader, создавая вредоносные PDF-документы, по меньшей мере, с декабря прошлого года.


Атаки были обнаружены исследователем безопасности Хайфэем Ли (основателем платформы обнаружения эксплойтов на основе песочницы EXPMON), который во вторник предупредил, что злоумышленники используют то, что он описал как «очень сложный эксплойт для PDF-файлов, похожий на снятие отпечатков пальцев», чтобы использовать нераскрытую уязвимость безопасности Adobe Reader.


Ли также заявил, что эти атаки нацелены на пользователей Adobe как минимум 4 месяца, похищая данные из скомпрометированных систем с помощью привилегированных API-интерфейсов Acrobat util.readFileIntoStream и RSS.addFeed, а также используя дополнительные эксплойты.

«Подтверждено, что эта уязвимость, позволяющая получить "цифровой отпечаток", использует уязвимость нулевого дня/неустраненную уязвимость, которая работает в последней версии Adobe Reader без какого-либо взаимодействия с пользователем, кроме открытия PDF-файла», — предупредил Ли .


«Еще более тревожно то, что эта уязвимость позволяет злоумышленнику не только собирать/красть локальную информацию, но и потенциально запускать последующие атаки RCE/SBX, которые могут привести к полному контролю над системой жертвы».

Хайфэй Ли обнародовала длинный список уязвимостей в программном обеспечении Microsoft, Google и Adobe, многие из которых были использованы в атаках нулевого дня .

фишинговые приманки на русском языке​

Аналитик угроз Gi7w0rm, который также проанализировал эту уязвимость Adobe Reader, обнаружил , что PDF-документы, распространяемые в ходе этих атак, содержат русскоязычные приманки, ссылающиеся на текущие события в российской нефтегазовой отрасли.

Ли уведомил Adobe об этих результатах и, до тех пор пока компания не выпустит обновления безопасности для устранения этой активно используемой уязвимости, посоветовал пользователям Adobe Reader не открывать PDF-документы, полученные от ненадежных контактов, до выпуска патча.


Специалисты по сетевой безопасности также могут смягчать последствия атак, использующих эту уязвимость нулевого дня, путем мониторинга и блокировки HTTP/HTTPS-трафика, содержащего строку "Adobe Synchronizer" в заголовке User-Agent.

«Эта уязвимость нулевого дня/неустраненная возможность для широкого сбора информации и потенциал для последующей эксплуатации RCE/SBX достаточна для того, чтобы сообщество специалистов по безопасности оставалось в состоянии повышенной готовности. Именно поэтому мы решили немедленно опубликовать эти результаты, чтобы пользователи могли сохранять бдительность», — добавил он .


Издание BleepingComputer также обратилось в Adobe с вопросами по поводу результатов исследования Ли, но ответа пока не получило.