En la pasada BruCon, Didier Stevens realizo un workshop donde enseñaba a los asistentes de este evento, los fundamentos del análisis de documentos PDF maliciosos, en este taller practico, los asistentes dotados de sus portátiles, maquinas virtuales y una copia del eBook escrito por Didier, debían analizar diferentes amenazas contenidas dentro de los archivos PDF.
Hoy Stevens ha publicado en su blog una copia del eBook que entregaron en su WorkShop de la BruCon, el cual comparto con todos ustedes.
El visor con el que se incrustaba el eBook en esta página era Flash de Issuu, una tecnología que los navegadores ya no soportan, por lo que ese visor se retiró; el enlace de descarga en 4shared que acompañaba al artículo hoy devuelve 403 y no se puede verificar, así que tampoco se ofrece como vía de descarga. El anuncio original sigue en línea en el blog de Didier Stevens, donde se puede consultar la publicación del eBook.
Más Información:
Información del WorkShop en la BruCon
Anuncio de Didier Stevens en su Blog
Analizar un PDF sospechoso hoy: sin abrirlo en tu lector
El eBook de Didier Stevens es de 2010, pero sus fundamentos no cambiaron: un PDF malicioso no ataca con el texto que ves, sino con lo que el lector ejecuta al abrirlo, como JavaScript incrustado, acciones automáticas al abrir el documento o archivos embebidos. Por eso la primera regla sigue siendo no abrir un PDF sospechoso en tu lector habitual: se analiza en una máquina virtual aislada, sin red, y se inspecciona su estructura antes de decidir.
Las herramientas del propio Didier Stevens siguen siendo la referencia para eso y se mantienen en su repositorio: DidierStevensSuite incluye pdf-parser, pdfid y peepdf, con las que se listan los objetos del documento, se buscan las marcas sospechosas (/JavaScript, /OpenAction, /EmbeddedFiles, /Launch) y se extraen los flujos sin ejecutarlos. Si un PDF que no esperabas te pide habilitar contenido, macros o scripts para verlo, esa petición ya es la señal: no lo habilites y analiza el archivo en un entorno aislado o repórtalo.
