PDF z wirusem

PDF z wirusem to plik wykorzystujący podatność czytnika lub osadzony skrypt do uruchomienia szkodliwego kodu.

Jak plik PDF może uruchomić szkodliwe działanie

PDF z wirusem nie musi zawierać wirusa w postaci zwykłego pliku wykonywalnego widocznego po otwarciu dokumentu. Zagrożenie może znajdować się w osadzonym skrypcie JavaScript, załączniku, odwołaniu do zewnętrznego zasobu albo specjalnie przygotowanej strukturze dokumentu. Czytnik PDF analizuje wewnętrzne obiekty pliku, między innymi strumienie danych, czcionki, obrazy, formularze i adnotacje. Jeżeli program zawiera błąd w obsłudze któregoś z tych elementów, spreparowany dokument może doprowadzić do awarii aplikacji, wykonania kodu lub nieautoryzowanego dostępu do danych.

Część dokumentów wykorzystuje funkcje automatyzacji dostępne w czytnikach PDF. JavaScript w PDF może reagować na otwarcie dokumentu, zmianę pola formularza albo wykonanie określonej akcji. Sam fakt obecności skryptu nie dowodzi infekcji, ale dokument pochodzący z nieznanego źródła powinien być traktowany ostrożnie, zwłaszcza gdy czytnik wyświetla monit o włączenie dodatkowych funkcji, otwarcie załącznika lub uruchomienie programu. Osobną klasę stanowią działania typu „Launch”, które mogą próbować przekazać plik do systemu operacyjnego; ich dostępność i zachowanie zależą od używanego czytnika oraz jego ustawień bezpieczeństwa.

Podatności czytnika i sygnały ostrzegawcze

Ryzyko zależy od konkretnego programu używanego do otwierania dokumentu, jego wersji oraz systemu operacyjnego. Podatność może dotyczyć na przykład dekodowania obrazu, obsługi czcionki, formularza lub mechanizmu skryptowego. W takim przypadku użytkownik może zostać zaatakowany nawet bez świadomego uruchamiania załącznika, ponieważ błąd jest wywoływany podczas parsowania zawartości dokumentu. Aktualizacje czytnika usuwają znane błędy, dlatego identyfikacja wersji aplikacji i zainstalowanie poprawek są istotnym elementem oceny sytuacji.

Niepokojącymi objawami po otwarciu PDF są nagłe zamknięcie czytnika, zawieszenie aplikacji, pojawienie się nieoczekiwanego okna dialogowego, próba uruchomienia innego programu, przekierowanie przeglądarki na obcą stronę albo utworzenie nieznanych plików. Sam dokument może również zawierać przyciski lub odnośniki stylizowane na fakturę, wezwanie do zapłaty czy skan urzędowy. Kliknięcie takiego elementu może prowadzić do strony phishingowej lub pobrania kolejnego pliku. Brak widocznych objawów nie potwierdza bezpieczeństwa, ponieważ złośliwe działanie może być ukryte albo ograniczać się do kradzieży informacji.

Bezpieczna weryfikacja podejrzanego dokumentu

Przed otwarciem pliku warto sprawdzić jego rzeczywiste rozszerzenie, źródło otrzymania, nazwę nadawcy i zgodność wiadomości z oczekiwanym kontekstem. Plik o nazwie „dokument.pdf.exe” jest programem wykonywalnym w systemie Windows, a nie dokumentem PDF, choć przy ukrytych rozszerzeniach może być wyświetlany myląco. Podejrzanego załącznika nie należy otwierać na komputerze zawierającym ważne dane. Można najpierw zapisać go bez uruchamiania, przeskanować aktualnym programem ochronnym i sprawdzić jego skrót kryptograficzny, na przykład SHA-256, jeżeli znane jest zaufane źródło porównawcze.

Po podejrzanym otwarciu dokumentu należy zamknąć plik i odłączyć komputer od sieci, jeżeli wystąpiły nietypowe objawy, takie jak uruchomienie nieznanego procesu lub masowe zmiany plików. Następnie trzeba wykonać pełne skanowanie systemu, sprawdzić ostatnio uruchamiane aplikacje i przejrzeć autostart. Nie należy przesyłać poufnego dokumentu do publicznego skanera internetowego, ponieważ jego zawartość może zostać zachowana lub udostępniona dostawcy usługi. Do analizy można użyć kopii pliku, a oryginał zachować wraz z informacją, skąd i kiedy został otrzymany. Jeżeli dokument pochodzi z legalnego źródła, warto pobrać go ponownie bezpośrednio z oficjalnej strony albo poprosić nadawcę o potwierdzenie.

Naprawa komputera po kontakcie z zainfekowanym PDF

Jeżeli podejrzany PDF spowodował awarię czytnika, nieznane procesy, zmianę ustawień przeglądarki lub problemy z plikami, sama ponowna instalacja programu do PDF może nie wystarczyć. Diagnostyka powinna objąć wersję czytnika, historię uruchomionych procesów, zadania automatycznego startu, pliki utworzone w czasie zdarzenia oraz wyniki skanowania antywirusowego. W przypadku szyfrowania lub uszkadzania danych ważne jest ograniczenie dalszego używania dysku, ponieważ kolejne operacje mogą nadpisać informacje potrzebne do analizy i odzyskiwania.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, w tym diagnostyką skutków otwarcia podejrzanych dokumentów PDF. Zakres prac może obejmować sprawdzenie systemu, usunięcie wykrytych składników złośliwego oprogramowania, aktualizację czytnika, przywrócenie prawidłowych ustawień oraz ocenę stanu danych użytkownika. Po zakończeniu diagnostyki warto pozostawić automatyczne aktualizacje systemu i aplikacji, wyłączyć niepotrzebne funkcje skryptowe w czytniku oraz otwierać dokumenty wyłącznie w programie pobranym z oficjalnego źródła.