क्या एक PDF में मैलवेयर हो सकता है?

एक आपूर्तिकर्ता से आपको एक इनवॉइस मिलता है जिसे आप पहचानते हैं। यह एक PDF है, और हर कोई जानता है कि PDFs केवल दस्तावेज़ होते हैं — सुरक्षित चीज़ जो आप फ़ाइलों को में बदल देते हैं ताकि कुछ भी गलत न हो। यही विश्वास है कि "invoice.pdf" किसी को अटैचमेंट खोलने के लिए प्रेरित करने का सबसे विश्वसनीय तरीका बना हुआ है। सच यह है कि इसका जवाब हाँ या ना से कहीं ज़्यादा जटिल है, और यही बारीकी इसे उपयोगी बनाती है।

संक्षिप्त उत्तर

PDF कोई निष्पादन योग्य (executable) फ़ाइल नहीं है। इसे खोलना किसी प्रोग्राम को वैसे नहीं चलाता जैसे कि एक .exe पर डबल-क्लिक करना। लेकिन PDF निष्क्रिय भी नहीं होता। यह फॉर्मेट सक्रिय सामग्री (active content) का समर्थन करता है, और एक दुर्भावनापूर्ण फ़ाइल आम तौर पर तीन तरीकों में से किसी एक से काम करती है: यह आपको कुछ क्लिक करने के लिए मनाती है, यह अपने अंदर कुछ और ले जाती है, या यह जानबूझकर खुद को विकृत करके इसे हमला करती है कि जो भी इसे खोलता है उसमें कोई बग हो।

एक PDF वास्तव में क्या रख सकता है

टेक्स्ट और छवियों के अलावा, स्पेसिफिकेशन कई ऐसी चीज़ों की अनुमति देता है जो लोगों को आश्चर्यचकित करती हैं:

• JavaScript। हाँ, सच में। PDFs स्क्रिप्ट एम्बेड कर सकते हैं, जिससे ऑर्डर फॉर्म किसी कॉलम का टोटल कर सकता है या सबमिट करने से पहले तारीख को वैलिडेट कर सकता है। यह एक वैध सुविधा है जिसका पूरी तरह से वैध इतिहास रहा है।
• स्वचालित रूप से चलने वाले कार्य। कोई दस्तावेज़ यह घोषित कर सकता है कि जब इसे खोला जाए, किसी पेज को प्रदर्शित किया जाए, या माउस किसी क्षेत्र में प्रवेश करे तो कौन सा कार्य चले। स्क्रिप्टिंग के साथ मिलकर, इसका मतलब है कि एक फ़ाइल आपके जानबूझकर इससे इंटरैक्ट करने से पहले कुछ भी कर सकती है।
• एम्बेड की गई फ़ाइलें। एक PDF अपने अंदर मनमाने अटैचमेंट ले जा सकता है — कोई स्प्रेडशीट, कोई आर्काइव, या कोई एक्जीक्यूटेबल। PDF एक कंटेनर बन जाता है: जब वह वहाँ बैठा होता है तो हानिरहित, लेकिन हानिकारक अगर किसी उपयोगकर्ता को इसे निकालने और चलाने के लिए राजी किया जाए।
• लिंक और लॉन्च कार्य। एक लिंक एक URL खोल सकता है। एक लॉन्च एक्शन रीडर से बाहरी एप्लिकेशन खोलने के लिए कहता है। आधुनिक रीडर इसके बाद वाले पर ब्लॉक करते हैं या बहुत चेतावनी देते हैं, लेकिन इरादा फ़ाइल में जीवित रहता है।
• फॉर्म जो डेटा सबमिट करते हैं। एक फॉर्म को कॉन्फ़िगर किया जा सकता है कि वह आपके द्वारा टाइप किए गए डेटा को किसी रिमोट पते पर पोस्ट करे।

ये कोई विदेशी हैक्स नहीं हैं। ये प्रलेखित सुविधाएँ हैं, जिनका उपयोग रोज़मर्रा के सामान्य व्यावसायिक दस्तावेज़ करते हैं। यही बात उनकी उपस्थिति को दोष देने के बजाय अस्पष्ट बनाती है।

वास्तविक जोखिम मॉडल

यह अलग करना ज़रूरी है कि सैद्धांतिक रूप से क्या संभव है और वास्तव में क्या होता है, क्योंकि इन्हीं के बीच का अंतर में खराब सलाह निवास करती है।

• सोशल इंजीनियरिंग — सबसे आम। PDF एक पूरी तरह से वैध दस्तावेज़ हो सकता है जिसमें किसी विश्वसनीय नकली लॉगिन पेज का लिंक, या "इनवॉइस देखने के लिए सामग्री सक्षम करें" जैसा निर्देश शामिल हो। फ़ाइल में तकनीकी रूप से कुछ भी दुर्भावनापूर्ण नहीं होता है। यह झूठ को पहुँचाने का वाहन है, और कोई scanर झूठ को भरोसेमंद तरीके से पकड़ नहीं पाता।
• रीडर की कमजोरियाँ — वास्तविक, दुर्लभ, अधिक गंभीर। PDF पार्सर जटिल फॉर्मेट को संभालने वाले विशाल सॉफ्टवेयर होते हैं। एक जानबूझकर खराब (malformed) फ़ाइल बग को ट्रिगर कर सकती है और, सबसे बुरे मामले में, कोड चला सकती है। यही वह चीज़ है जिसका मतलब आमतौर पर "एक PDF ने मुझे वायरस दे दिया" होता है — और इसीलिए पुराना रीडर ही असली जोखिम होता है।
• वाहक फ़ाइलें (Carrier files)। PDF एक अटैचमेंट रखता है जो निकालने और चलाने के बाद नुकसान पहुँचाता है। PDF खुद कभी भी कुछ गलत नहीं करता।

ध्यान दें कि उस सूची में क्या नहीं है: कोई PDF चुपचाप एक आधुनिक, पैच किए गए (patched), सैंडबॉक्स्ड व्यूअर को केवल प्रदर्शित होने से संक्रमित कर दे। यह असंभव नहीं है, लेकिन यह एक गंभीर एक्सप्लॉइट है, न कि आपके इनबॉक्स की रोज़मर्रा की वास्तविकता।

यह कहना कि "संदिग्ध PDFs न खोलें" बेकार सलाह क्यों है

बहुत से लोग अजनबियों से प्राप्त PDFs को अपना वास्तविक काम मानते हैं। अकाउंट्स पेएबल (Accounts payable) अज्ञात प्रेषकों से इनवॉइस प्राप्त करता है। रिक्रूटर CVs खोलते हैं। सपोर्ट टीमें ग्राहक अटैचमेंट खोलती हैं। उन्हें न कहने का मतलब है कि उन्हें काम न करने के लिए कहना। उपयोगी सवाल यह नहीं है कि "क्या मुझे इसे खोलना चाहिए?" बल्कि यह है कि "इस फ़ाइल में क्या है, और क्या यह उस दावे से मेल खाता है जो यह करती है?" — एक ऐसा सवाल जिसका जवाब आप वास्तव में दे सकते हैं।

किसी PDF पर भरोसा करने से पहले उसे कैसे जांचें

आप बिना इसे किसी पूर्ण-सुविधा वाले रीडर में खोले, और बिना एक संभावित रूप से दुर्भावनापूर्ण फ़ाइल को तीसरे पक्ष की सेवा के पास भेजे, यह जाँच सकते हैं कि दस्तावेज़ में क्या है:

1. स्क्रिप्ट की जाँच करें। Detect JavaScript खोलें और फ़ाइल लोड करें। यह रिपोर्ट करता है कि दस्तावेज़ में एम्बेडेड JavaScript है या नहीं।
2. अटैचमेंट की जाँच करें। यह देखने के लिए Detect Embedded Files खोलें कि क्या PDF के अंदर कुछ पैक किया गया है।
3. अपेक्षाओं से तुलना करें। एक सप्लायर इनवॉइस जिसमें एम्बेडेड आर्काइव और ऑटो-रन स्क्रिप्ट हो, सामान्य इनवॉइस नहीं होता। आपके अकाउंटेंट का JavaScript वाला इंटरैक्टिव फॉर्म शायद होता है।
4. बढ़ावा दें, मनमाना काम न करें। यदि कुछ ऐसा मौजूद है जो नहीं होना चाहिए, तो यह एक IT बातचीत है — 'देखते हैं क्या होता है' पल नहीं।

Detect JavaScript टूल खोलें

JavaScript मिलना मतलब यह नहीं कि यह दुर्भावनापूर्ण है

यह मायने रखता है, क्योंकि एक डिटेक्टर जो आपको घबरा दे, वह कोई डिटेक्टर न होने से भी बुरा है। एम्बेडेड JavaScript इंटरैक्टिव फॉर्म में सामान्य होता है: टैक्स फॉर्म, एप्लीकेशन फॉर्म, खर्च का दावा, कुछ भी जो टाइप करते समय गणना या सत्यापन करता हो। स्क्रिप्ट मिलना बताता है कि दस्तावेज़ इंटरैक्टिव है, न कि यह कि यह शत्रुतापूर्ण है।

सिग्नल आपको जो देता है वह है तुलना के लिए संदर्भ। पूछें कि क्या सक्रिय सामग्री इस दस्तावेज़ में इस प्रेषक से संबंधित है। स्क्रिप्ट वाला सरकारी फॉर्म: सामान्य बात। एक कूरियर की एक-पृष्ठीय "रसीद" जिसका आपने कभी उपयोग नहीं किया, जिसमें स्क्रिप्ट और एम्बेडेड एक्जीक्यूटेबल हो: यह संयोजन अपनी कहानी कहता है।

किसी भी निरीक्षण की सीमाएँ

इस बारे में स्पष्ट होना उपकरणों का अति-विज्ञापन करने से ज़्यादा उपयोगी है:

• यह एंटीवायरस नहीं है। डिटेक्शन रिपोर्ट संरचना — यह बताती है कि फ़ाइल में क्या है। यह इरादे का न्याय नहीं करती और न ही ज्ञात मैलवेयर सिग्नेचर से मिलाती है।
• एक साफ़ रिपोर्ट सुरक्षा का प्रमाण नहीं है। सबसे प्रभावी दुर्भावनापूर्ण PDFs में कोई स्क्रिप्ट या अटैचमेंट नहीं होता। उनमें एक लिंक और एक विश्वसनीय कहानी होती है। जिसे डिटेक्ट न किया जा सके।
• यह आपको नहीं बता सकता कि कोई लिंक फ़िशिंग साइट है। एक URL एक URL ही है, चाहे वह आपके बैंक की ओर इशारा करे या उसकी किसी भरोसेमंद कॉपी की ओर।

निरीक्षण अनिश्चितता को कम करता है। यह इसे समाप्त नहीं करता, और कोई भी उपकरण जो अन्यथा दावा करता है, कुछ बेच रहा होता है।

व्यावहारिक आदतें जो वास्तव में मदद करती हैं

• अपने रीडर को अपडेट रखें। यह यहाँ सबसे अधिक मूल्यवान आदत है। लगभग हर "PDF exploit" की कहानी एक पैच किया गया बग और एक अपैच मशीन का मिलना होती है।
• एक सैंडबॉक्सड व्यूअर को प्राथमिकता दें। आधुनिक browser PDFs को एक बहुत ही प्रतिबंधित वातावरण में रेंडर करते हैं जिसमें स्क्रिप्टिंग की सीमित क्षमता होती है। यह हर सुविधा सक्षम वाले पूर्ण-फ़ीचर वाले डेस्कटॉप रीडर की तुलना में एक महत्वपूर्ण सुरक्षा मार्जिन है।
• यदि आप कभी इंटरैक्टिव फॉर्म नहीं भरते, तो अपने PDF रीडर में JavaScript बंद कर दें इससे आपको कोई नुकसान नहीं होगा और यह जोखिमों की पूरी श्रेणी को हटा देता है।
• "सक्षम करें" प्रॉम्प्ट्स को स्टॉप साइन समझें। वैध दस्तावेज़ शायद ही कभी पढ़ने के लिए आपसे किसी सुरक्षा चेतावनी को ओवरराइड करने के लिए कहते हैं।
• बाहरी रूप से सत्यापित करें। यदि कोई इनवॉइस अजीब लगे, तो सप्लायर को उस नंबर पर फ़ोन करें जो आपके पास पहले से था — न कि वह जो दस्तावेज़ में छपा है।

स्थानीय रूप से जांच क्यों करें?

यदि आपको संदेह है कि कोई फ़ाइल दुर्भावनापूर्ण है, तो इसे किसी अज्ञात वेब सेवा पर upload करना एक अजीब पहला कदम है: आपने अब एक संभावित रूप से संवेदनशील दस्तावेज़ — जैसे आपके बैंकिंग विवरण वाला इनवॉइस, या किसी के पते वाला CV — की प्रति एक तीसरे पक्ष को दे दी है, सिर्फ यह जानने के लिए कि क्या यह खतरनाक है। इसे अपने स्वयं के डिवाइस पर जांचना सवाल और फ़ाइल दोनों को एक ही जगह रखता है। CyvoDocOps में, इस तरह की समर्थित जाँचें आपके browser में स्थानीय रूप से चलती हैं और दस्तावेज़ सर्वर पर upload नहीं होता है।

अक्सर पूछे जाने वाले प्रश्न

क्या PDF को केवल खोलने मात्र से मेरे कंप्यूटर को संक्रमित कर सकता है?

एक आधुनिक, पैच किए गए, सैंडबॉक्स्ड रीडर के साथ यह असंभव है, लेकिन नामुमकिन भी नहीं — इसके लिए एक वास्तविक भेद्यता (vulnerability) की आवश्यकता होती है। यथार्थवादी जोखिम वह लिंक हो सकता है जो आपको कहीं और ले जाए, या कोई अटैचमेंट जिसे आप निकालने और चलाने के लिए मना लें।

क्या PDF में JavaScript हमेशा बुरा होता है?

नहीं। यह इंटरैक्टिव फॉर्म्स की एक मानक सुविधा है, जिसका उपयोग गणना (calculation) और सत्यापन (validation) के लिए किया जाता है। इसकी उपस्थिति संदर्भ बताती है, न कि कोई फैसला।

क्या PDF को इमेज में बदलना इसे सुरक्षित बनाता है?

किसी दस्तावेज़ को रैस्टराइज़ करने से स्क्रिप्ट्स, अटैचमेंट और एक्शन हट जाते हैं, इसलिए यह सक्रिय सामग्री (active content) को हटा देता है। यह चयन योग्य टेक्स्ट भी हटा देता है, इसलिए यह एक वास्तविक समझौता है — और यदि मूल फ़ाइल का लक्ष्य केवल आपको एक विश्वसनीय लिंक दिखाना था तो यह आपकी सुरक्षा नहीं करता।

क्या ये उपकरण एंटीवायरस के विकल्प हैं?

नहीं। वे रिपोर्ट करते हैं कि PDF संरचनात्मक रूप से क्या रखता है। वे ज्ञात मैलवेयर की पहचान नहीं करते या इरादे का आकलन नहीं करते। इनका उपयोग निर्णय लेने में जानकारी देने के लिए करें, एक पैच किए गए रीडर और सामान्य सावधानी के साथ।

क्या फ़ाइल को जाँचने के लिए upload किया जाता है?

इन टूल्स के लिए, PDF को आपके browser में स्थानीय रूप से (locally) इंस्पेक्ट किया जाता है और इसे किसी सर्वर पर नहीं भेजा जाता है।

संबंधित गाइड और टूल्स