spoofing z edytowanym PDF

Spoofing z edytowanym PDF to modyfikacja dokumentu w celu ukrycia w nim fałszywych treści lub odnośników.

Jak działa spoofing z edytowanym PDF

Spoofing z edytowanym PDF polega na przygotowaniu dokumentu, który wizualnie przypomina prawdziwe pismo, fakturę, potwierdzenie płatności, wezwanie lub formularz, ale zawiera zmienione informacje. Osoba atakująca może podmienić numer rachunku bankowego, adres poczty elektronicznej, nazwę odbiorcy, kwotę, termin płatności albo dane kontaktowe. Fałszywa treść bywa umieszczona bezpośrednio w dokumencie, jako nakładka graficzna, w dodatkowej adnotacji lub w polu formularza. Celem jest skłonienie odbiorcy do wykonania czynności na podstawie dokumentu, który wygląda wiarygodnie, lecz nie pochodzi od deklarowanego nadawcy albo został zmieniony po jego utworzeniu.

Plik PDF nie jest wyłącznie pojedynczym obrazem strony. Jego zawartość składa się między innymi z obiektów opisujących tekst, czcionki, grafiki, strony, adnotacje, formularze oraz odnośniki. Edytor PDF może zmienić jeden z tych elementów bez wyraźnego pogorszenia wyglądu dokumentu. W praktyce szczególnie mylące są dokumenty, w których fałszywy tekst ma identyczny krój pisma, kolor i położenie jak oryginalna treść, a właściwy adres odnośnika różni się od adresu wyświetlanego na stronie. Sam fakt, że plik otwiera się poprawnie w popularnym czytniku, nie potwierdza jego autentyczności.

Elementy pliku, które mogą ukrywać fałszywą treść

W dokumencie PDF podejrzane informacje mogą znajdować się w adnotacjach, w tym w odnośnikach typu URI, polach formularza AcroForm, załączonych plikach, warstwach graficznych lub obiektach tekstowych położonych nad pierwotną treścią. Przykładowo napis „Pobierz dokument” może prowadzić do innego adresu niż ten widoczny po jego wyświetleniu. Formularz może zawierać wartości domyślne, które użytkownik zaakceptuje bez zauważenia zmiany. PDF może również zawierać osadzony plik, na przykład dokument biurowy, obraz albo skrypt, chociaż możliwość jego uruchomienia zależy od czytnika i jego ustawień bezpieczeństwa.

Niektóre dokumenty wykorzystują aktualizacje przyrostowe. Zamiast przepisywać cały plik, program dopisuje na końcu nowe obiekty oraz informacje wskazujące, które elementy mają być używane podczas otwierania dokumentu. Taki mechanizm może mieć legalne zastosowanie, między innymi przy dodawaniu podpisu cyfrowego, ale może też utrudnić ręczne zauważenie późniejszych zmian. Analiza techniczna powinna uwzględniać pełną strukturę pliku, historię aktualizacji, obecność dodatkowych obiektów, odnośniki, formularze i osadzone zasoby. Zmiana samej nazwy pliku, rozszerzenia albo danych widocznych w jego właściwościach nie jest wiarygodnym sposobem oceny autentyczności.

Weryfikacja podpisu, adresów i zgodności dokumentu

Najważniejszym rozróżnieniem jest różnica między wyglądem dokumentu a jego integralnością kryptograficzną. Obraz podpisu wstawiony jako grafika nie jest podpisem cyfrowym. Podpis cyfrowy PDF odnosi się do określonego zakresu bajtów pliku i pozwala czytnikowi sprawdzić, czy objęte nim dane zostały zmienione. Program weryfikujący może także sprawdzić certyfikat podpisującego, jego łańcuch zaufania oraz czas ważności, jednak wynik „podpis poprawny” należy interpretować razem z informacją, jaki zakres dokumentu został podpisany i czy po podpisaniu dodano elementy nieuwzględnione w podpisie.

Przy podejrzanym dokumencie warto porównać go z niezależnym źródłem: wiadomością wysłaną z wcześniej znanego adresu, panelem klienta, papierowym pismem albo numerem telefonu znalezionym na oficjalnej stronie, a nie wyłącznie w samym PDF-ie. Trzeba sprawdzić rzeczywisty adres odnośnika, domenę nadawcy, numer rachunku, dane firmy, spójność dat oraz zgodność kwot w treści i podsumowaniu. Nie należy otwierać osadzonych załączników ani klikać nieoczekiwanych odnośników przed ich weryfikacją. Czytnik PDF powinien być aktualny, ponieważ poprawki bezpieczeństwa mogą zmieniać sposób obsługi aktywnej zawartości i potencjalnie niebezpiecznych załączników. W razie wątpliwości bezpieczniej jest uzyskać dokument ponownie bezpośrednio od nadawcy.

Obsługa podejrzanego PDF-u na komputerze

Jeżeli plik został pobrany z wiadomości lub strony internetowej i wzbudza podejrzenia, należy zachować oryginał bez ponownego zapisywania go w edytorze, ponieważ zapis może zmienić strukturę dokumentu i utrudnić późniejsze porównanie. Warto zanotować źródło pliku, datę otrzymania oraz nazwę nadawcy. Dokument można sprawdzić w aktualnym programie zabezpieczającym i niezależnym czytniku PDF, a przy podejrzeniu oszustwa porównać jego sumę kontrolną z kopią otrzymaną z zaufanego źródła. Sama suma kontrolna nie mówi, czy treść jest prawdziwa, ale pozwala ustalić, czy dwa pliki są identyczne.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a w ramach diagnostyki może pomóc ocenić nietypowe zachowanie systemu po otwarciu podejrzanego dokumentu, sprawdzić aktualność czytnika PDF, ustawienia obsługi załączników oraz oznaki infekcji. W przypadku dokumentu wykorzystanego do wyłudzenia pieniędzy lub danych techniczna analiza komputera powinna być uzupełniona kontaktem z rzeczywistym nadawcą i odpowiednimi służbami. Nie wolno usuwać wiadomości, pliku ani informacji o źródle przed ich zabezpieczeniem, ponieważ mogą być potrzebne do odtworzenia przebiegu zdarzenia i ustalenia, czy problem dotyczył samego PDF-u, konta pocztowego, przeglądarki lub systemu operacyjnego.