La mayoría de la masa ya conoce las comprobaciones básicas antaño de inaugurar un archivo. Incluso se aplican a los archivos PDF: realizar que el remitente parezca auténtico, tener cuidado antaño de inaugurar o descargar archivos adjuntos inesperados y evitar archivos PDF con doble extensión (.pdf.exe, por ejemplo). Estos son excelentes hábitos que hacen que le resulte más difícil ser víctima de intentos de phishing que requieren poco esfuerzo.

Sin retención, los ataques a PDF están evolucionando y no siempre siguen la ruta obvia. Estos documentos son contenedores estructurados capaces de contener objetos ocultos, firmas digitales y metadatos de secreto; pueden ejecutar acciones. Tratarlos como documentos pasivos significa tener fe en ellos sin siquiera entenderlos. Esto puede ser peligroso. Aunque los lectores de PDF modernos pueden proteger contra algunos riesgos, no son infalibles. Debe realizar comprobaciones más profundas para determinar los riesgos antaño de inaugurar cualquier PDF.

Verifique la capacidad de ejecución del PDF antaño de abrirlo

Objetos activos, acciones automáticas y cargas enseres integradas

Los archivos PDF son formatos basados ​​en objetos creados mediante la vinculación de objetos como diccionarios, secuencias, matrices y referencias. Estos documentos son capaces de alojar secuencias de comandos y archivos incrustados. Pueden ser puntos de tiro para determinadas acciones y pueden desencadenar acciones automáticamente. El peligro auténtico con los archivos PDF va más allá del capacidad de lo que contiene el documento; es lo que puede hacer.

Siempre que reciba un PDF, primero determine si contiene principios ejecutables. Y lo mejor que puede hacer es ejecutar el próximo comando a posteriori de instalar Python y el PDFiD Útil de bisectriz de comandos basada en Python:

python pdfid.py C:UsersYouDownloadssuspicious.pdf

Según los resultados del examen, si alguno de los siguientes objetos tiene un valía diverso de cero, puede suceder algún peligro:

• /JS o /JavaScript

• /Actividad Abierta

• /Tiro

• /AA (acciones adicionales)

• /ArchivoIncrustado

La próximo tabla muestra lo que los objetos pueden indicar:

La mayoría de los archivos legítimos no necesitan estos objetos. Por ejemplo, /Launch es inútil para una cargo. No paciencia que ningún noticia pasmado requiera archivos incrustados. Tener un recuento stop de cualquiera de los objetos mencionados no significa automáticamente que sea malware. Sin retención, convierten el archivo PDF de un documento en un contenedor interactivo. Deberías usar el pdf-parser.py útil para una inspección más detallada si los resultados devuelven títulos distintos de cero para cualquiera de los objetos secreto mencionados.

Sin retención, la regla militar por seguridad es inaugurar el PDF en una zona de pruebas o en una máquina potencial si tiene dudas. Encima, las secuencias de comandos no siempre son evidentes y su marcha no implica que los objetos con formato incorrecto no puedan disfrutar las vulnerabilidades de los lectores de PDF. Ha habido varios casos en los que los CVE surgieron de debilidades del analizador sin secuencias de comandos visibles. JavaScript es sólo un pájaro en la capacidad de ejecución; Otro pájaro importante es cuán compleja y probable es que se active una estructura. No deberías inaugurar casualmente ningún archivo que pueda ejecutar, recuperar o economizar cargas enseres.

Verifique la integridad criptográfica del documento antaño de tener fe en él.

Firmas digitales, cadenas de certificados y modificaciones posteriores a la firma.

La mera presencia de un logotipo o una firma visible en un PDF no garantiza la integridad. La integridad se valida sólo cuando existe una firma digital. Las firmas criptográficas se basan en una infraestructura de secreto pública (PKI) y pueden determinar tres cosas en los archivos PDF: que el archivo no ha sido modificado (integridad), quién lo firmó (autenticidad) y su origen (no repudio).

Si algún PDF reclama autoridad, puede ejecutar el mismo escaneo de PDFiD explorado anteriormente y inquirir el valía /AcroForm. Cualquier valía superior a cero indica la presencia de un campo de formulario de firma. Luego puede inaugurar el archivo de forma aislada en Adobe Reader o cualquier otra útil PDF descubierta y realizar el Panel de firma para ver lo próximo:

• ¿Es válida la firma?

• ¿Se encadena a una autoridad certificadora raíz confiable?

• ¿El certificado está caducado o revocado?

• ¿Se modificó el documento a posteriori de la firma?

• ¿Existe una marca de tiempo confiable?

Esta comprobación es fundamental porque es posible que un documento muestre una firma sin tener una firma criptográfica. Encima, oportuno a que se puede añadir una revisión a un PDF a posteriori de haberlo firmado, debe prestar distinto atención a las actualizaciones incrementales. Si el conferenciante señala modificaciones posteriores a la firma, debe tener cuidado. La próximo tabla proporciona un maniquí de integridad para firmas.

Hay innumerables archivos PDF legítimos que permanecen sin firmar y esto es natural. Pero en el momento en que el expediente reclama autoridad, como es el caso de las notificaciones bancarias, los formularios legales y los contratos empresariales, se convierte en una preocupación si carece de una firma. Los archivos que afirman ser confiables deben poder demostrarlo matemáticamente.

Confirme la procedencia y la coherencia estructural del archivo antaño de interactuar con él.

Adscripción de metadatos, firmeza de la condena de entrega y anomalías estructurales

Los archivos PDF sin firmar y de origen no verificable pueden ser riesgosos incluso cuando no son ejecutables. Para mantenerse seguro, debe inspeccionar la ruta de entrega del archivo. Se deben realizar tres títulos: SPF (situación de políticas del remitente), DKIM (correo identificado con claves de dominio) y DMARC (autenticación, informes y conformidad de mensajes basados ​​en dominio). Estos protocolos de autenticación de correo electrónico verifican si un correo electrónico efectivamente proviene del dominio del que dice provenir. Para comprobar estas rutas, siga estos pasos:

1. Rada el correo electrónico con el archivo adjunto PDF.

2. Haga clic en los tres puntos en la parte superior derecha del correo electrónico y haga clic en ver innovador.

3. Inspeccione los títulos de FPS, DKIMy DMARC; si los títulos son APROBARcomprueba la fuente.

Incluso puede revisar rápidamente los detalles del correo electrónico para comparar el nombre para mostrar con el dominio de pedido auténtico. Pero lo más importante es que si el archivo se descargó a través de un enlace, examine las cadenas de redireccionamiento. Para este examen, copie el enlace y péguelo en una útil como Escaneo de URL para ver cada brinco por el que pasó el archivo, incluido el enlace innovador. Puedes enterarse si el enlace está desinteresado ejecutándolo Comprobador de URL de VirusTotal. A continuación, inspeccione el archivo auténtico. puedes instalar ExifHerramienta y ejecute el próximo comando para inquirir títulos de archivo como Autor, demiurgo, Productor, Vencimiento de creación y Vencimiento de modificación.

exiftool suspicious.pdf

Una vez que tenga estos títulos, compárelos con las afirmaciones del PDF. Si, por ejemplo, se supone que un PDF es una cargo de 2026 de su mesa multinacional, pero la información del productor apunta a una traducción obsoleta de LibreOffice para el consumidor, es una prueba de que poco puede estar mal. Por postrer, ejecuta esto qpdf comando para la coherencia estructural.

qpdf --check suspicious.pdf

Múltiples fechas incrementales, flujos excesivos de objetos, capas de compresión extrañas y anomalías en las referencias cruzadas pueden ser señales de que hay poco dañino en su interior.

Trate los archivos PDF como contenedores ejecutables, no como documentos pasivos

Aunque un PDF puede parecer una hoja de papel natural cuando se imprime, el archivo auténtico se parece más a un contenedor empaquetado. Puede ser un conducto eficaz para ejecutar acciones. Para estar seguro, debe examinar la mecánica debajo de la fresa.

Usar aplicaciones de seguridad es una forma de mantenerse seguro en bisectriz. Sin retención, una pequeña pausa e inspección antaño de inaugurar un PDF es un traje que lo protegerá cuando las aplicaciones fallen.

Relacionado

Las extensiones de tu navegador pueden ver cada contraseña que escribes

Es posible que su extensión/complemento de confianza con más de 100.000 reseñas le esté espiando.