Bir PDF zararlı yazılım içerebilir mi?

Bir tedarikçiden gelen bir fatura var. Bu bir PDF ve herkes PDF'lerin sadece belge olduğu, dosyaları dönüştürmenin güvenli yolu olduğunu biliyor. için bu sayede hiçbir şeyin ters gitmeyeceği düşüncesi yaygın. İşte bu yüzden "fatura.pdf" hala birine ek bir dosya açtırmaya en güvenilir yollardan biri olmaya devam ediyor. Dürüst cevap, sadece evet ya da hayır kadar basit değil; ve bu nüans onu kullanışlı kılan şeydir.

Kısa Cevap

Bir PDF çalıştırılabilir bir dosya değildir. Açmak, bir .exe dosyasına çift tıklamanın yaptığı gibi bir program çalıştırmaz. Ancak bir PDF aynı zamanda eylemsiz de değildir. Format aktif içerikleri destekler ve kötü amaçlı bir dosya genellikle üç yoldan biriyle çalışır: bir şeye tıklamanıza ikna eder, içinde başka bir şey taşır veya onu açan herhangi bir programdaki bir hatayı hedef alacak şekilde kasıtlı olarak bozulur.

Özetle: format insanların düşündüğünden daha fazlasına izin verir, ancak pratikte çoğu kötü amaçlı PDF hiçbir şeyi akıllıca istismar etmez; sadece ikna edici bir bağlantı içerir. Önemli olan tarayıcınızdan çok sizin yargınızdır.

Bir PDF'in aslında neler içerebileceği

Metin ve görsellerin ötesinde, spesifikasyon insanları şaşırtacak bir dizi şeye izin verir:

Evet, gerçekten. PDF'ler betik gömebilir; bu sayede sipariş formları bir sütunu toplamaya veya göndermeden önce bir tarihi doğrulamaya olanak tanır. Bu, tamamen meşru bir geçmişe sahip yasal bir özelliktir.
Otomatik tetiklenen eylemler. Bir belge, açıldığında, bir sayfa görüntülendiğinde veya fare bir bölgeye girdiğinde çalışacak bir eylem bildirebilir. Betikle birleştiğinde bu, bir dosyanın sizin bilerek etkileşimde bulunmanızdan önce bile bir şeyler yapabileceği anlamına gelir.
Gömülü dosyalar. Bir PDF içinde keyfi ekler taşıyabilir — bir elektronik tablo, bir arşiv, çalıştırılabilir bir dosya. PDF bir kapsayıcı haline gelir: orada dururken zararsız, ancak bir kullanıcının çıkarıp çalıştırması için ikna edilmesi durumunda tehlikeli olabilir.
Bağlantılar ve başlatma eylemleri. Bir bağlantı bir URL açabilir. Bir başlatma eylemi okuyucudan harici bir uygulama açmasını ister. Modern okuyucular sonuncusunu engeller veya şiddetle uyarır, ancak niyet dosyada yaşamaya devam eder.
Veri gönderen formlar. Bir form, yazdığınız verileri uzak bir adrese gönderecek şekilde yapılandırılabilir.

Bunların hiçbiri egzotik hileler değil. Bunlar belgelenmiş özelliklerdir ve sıradan iş belgeleri tarafından her gün kullanılır. Bu da onların varlığını suçlayıcı olmaktan çok muğlak kılan şeydir.

Gerçekçi risk modeli

Teorik olarak mümkün olan ile fiilen gerçekleşen arasında bir ayrım yapmak gerekir, çünkü kötü tavsiyelerin bulunduğu yer tam da bu boşluktur.

Sosyal mühendislik — şüphesiz en yaygın olanı. PDF, inandırıcı sahte bir giriş sayfasına veya "faturayı görüntülemek için içeriği etkinleştir" talimatına bağlantı içeren tamamen geçerli bir belge olabilir. Dosyanın hiçbir yerinde teknik olarak kötü amaçlı bir şey yoktur. Bir yalan için taşıyıcıdır ve hiçbir tarayıcı bu yalandan güvenilir bir şekilde haberdar olamaz.
Okuyucu güvenlik açıkları — gerçek, daha nadir, daha ciddi. PDF ayrıştırıcıları karmaşık bir formatı işleyen devasa yazılım parçalarıdır. Kasıtlı olarak bozuk bir dosya bir hatayı tetikleyebilir ve en kötü durumda kod çalıştırabilir. "Bir PDF bana virüs verdi" ifadesi genellikle bunu ifade eder — ve güncel olmayan bir okuyucunun asıl sorumluluk kaynağı olduğu budur.
Taşıyıcı dosyalar. PDF, çıkarılıp çalıştırıldığında zarar veren bir ek içerir. PDF'in kendisi asla kötü bir şey yapmaz.

Bu listede olmayan şeye dikkat edin: Bir PDF'in sadece görüntülenmesiyle modern, yamalı, izole edilmiş bir görüntüleyiciyi sessizce enfekte etmesi. Bu imkansız değil, ancak günlük gelen kutusu gerçekliği değil, ciddi bir istismardır.

"Şüpheli PDF'leri açmayın" tavsiyesi neden işe yaramaz

Birçok kişi yabancılardan gelen PDF'leri gerçek işlerinin bir parçası olarak açar. Ödeme hesapları bilinmeyen göndericilerden fatura alır. İşe alım uzmanları CV'ler açar. Destek ekipleri müşteri eklerini açar. Onlara bunu yapmamalarını söylemek, çalışmamamalarını söylemektir. Faydalı soru "bunu açmalı mıyım?" değil, "bu dosyanın içinde ne var ve iddia ettiği şeyle eşleşiyor mu?" — aslında cevaplayabileceğiniz bir sorudur.

Bir PDF'e güvenmeden önce nasıl incelenir

Belgeyi tam özellikli bir okuyucuda açmadan ve potansiyel olarak kötü amaçlı bir dosyayı üçüncü taraf bir hizmete vermeden ne içerdiğini kontrol edebilirsiniz:

Betikript arama yapın. JavaScript Algıla'yı açın ve dosyayı yükleyin. Belgeye gömülü JavaScript içerip içermediğini raporlar.
Ekler var mı kontrol edin. PDF'nin içine bir şey paketlenmiş olup olmadığını görmek için Gömülü Dosyaları Algıla'yı açın.
Beklentilerle karşılaştırın. Gömülü bir arşiv ve otomatik çalışan bir betik içeren bir tedarikçi faturası normal bir fatura değildir. Muhasebecinizden gelen, JavaScript içeren etkileşimli bir form muhtemelen normaldir.
İşleri büyütmeyin, profesyonelce yaklaşın. Olmaması gereken bir şey varsa, bu bir BT konuşmasıdır; "ne olacak görelim" anı değildir.

JavaScript Algılama aracını açın

JavaScript bulmak, kötü amaçlı olduğu anlamına gelmez

Bu önemlidir, çünkü panikleten bir algılayıcı olmamak kadar kötüdür. Gömülü JavaScript, etkileşimli formlarda normaldir: vergi formları, başvuru formları, masraf talepleri, yazarken hesaplama veya doğrulama yapan her şey. Bir betik bulmak, belgenin kötü niyetli olduğu anlamına gelmez, sadece etkileşimli olduğu anlamına gelir.

Sinyalin size verdiği şey, tartılacak bir bağlamdır. Aktif içeriğin bu belgeye bu göndericiden ait olup olmadığını sorun. Bir betik içeren bir devlet formu: olağanüstü değildir. Daha önce hiç kullanmadığınız bir kuryeden gelen, bir betik ve gömülü çalıştırılabilir dosya taşıyan tek sayfalık bir "makbuz": bu kombinasyon kendi hikayesini anlatır.

Herhangi bir incelemenin sınırları

Bu konuda dürüst olmak, araçları abartmaktan daha faydalıdır:

Bu bir antivirüs değildir. Tespit raporu yapısı — dosyanın ne içerdiğini gösterir. Niyeti yargılamaz ve bilinen kötü amaçlı yazılım imzalarıyla eşleştirmez.
Temiz bir rapor, güvenlik kanıtı değildir. En etkili kötü niyetli PDF'ler betik veya ek içermez. Bir bağlantı ve inandırıcı bir hikaye içerir. Tespit edilecek hiçbir şey yoktur.
Bir bağlantının kimlik avı sitesi olduğunu söyleyemez. Bir URL, bankanıza mı yoksa ikna edici bir kopyaya mı işaret ettiği önemli olmaksızın bir URL'dir.

İnceleme belirsizliği daraltır. Onu ortadan kaldırmaz ve aksi iddia eden herhangi bir araç, bir şey satıyordur.

Gerçekten yardımcı olan pratik alışkanlıklar

Okuyucunuzu güncel tutun. Buradaki en yüksek değerli tek alışkanlıktır. Neredeyse her "PDF açığı" hikayesi, yamalanmış bir hatanın yamalanmamış bir makineyle karşılaşmasıdır.
Sandbox'lu bir görüntüleyici tercih edin. Modern tarayıcılar, çok sınırlı betikleme yetenekleriyle PDF'leri kısıtlanmış bir ortamda işler. Bu durum, tüm özellikleri etkinleştirilmiş tam özellikli bir masaüstü okuyucuya göre anlamlı bir güvenlik marjı sağlar.
PDF okuyucunuzdaki JavaScript'i kapatın eğer etkileşimli formları doldurmayacaksanız. Bu size hiçbir şey kaybettirmez ve tüm bir risk kategorisini ortadan kaldırır.
"Etkinleştir" istemlerini dur işareti gibi görün. Yasal belgelerin, okunması için güvenlik uyarısını geçmenizi nadiren gerektirmesi gerekir.
Harici olarak doğrulayın. Bir fatura şüpheli görünüyorsa, tedarikçiyi zaten elinizde olan bir numaradan arayın — belgede basılı olan bir numara değil.

Neden yerel olarak incelemeli?

Bir dosyanın kötü amaçlı olduğundan şüpheleniyorsanız, onu bilinmeyen bir web hizmetine yüklemek tuhaf bir ilk adımdır: potansiyel olarak hassas bir belgeyi — banka bilgilerinizi içeren bir fatura, birinin adresini içeren bir özgeçmiş gibi — ne kadar tehlikeli olduğunu öğrenmek için üçüncü bir tarafa vermiş olursunuz. Bunu kendi cihazınızda incelemek, soruyu ve dosyayı aynı yerde tutar. CyvoDocOps'te desteklenen bu tür kontroller yerel olarak tarayıcınızda çalışır ve belge sunucuya yüklenmez.

Sıkça Sorulan Sorular

Bir PDF sadece açılmasıyla bilgisayarıma enfekte olabilir mi?

Modern, yamalanmış ve sandbox'lanmış bir okuyucu ile bu pek olası değil ama imkansız da değil — gerçek bir güvenlik açığı gerektirir. Gerçek risk, sizi ikna edici bir yere yönlendiren bir bağlantı veya çıkarıp çalıştırmanız için ikna olduğunuz bir ek olabilir.

Bir PDF'deki JavaScript her zaman kötü müdür?

Hayır. Hesaplama ve doğrulama için kullanılan, etkileşimli formların standart bir özelliğidir. Varlığı bağlamdır, hüküm değildir.

Bir PDF'i görüntüye dönüştürmek onu güvenli yapar mı?

Bir belgeyi rasterize etmek betikleri, ekleri ve eylemleri atar, bu yüzden aktif içeriği kaldırır. Ayrıca seçilebilir metni de attığı için gerçek bir takastır — ve orijinal dosyanın amacı sadece size ikna edici bir bağlantı göstermekse sizi korumaz.

Bu araçlar antivirüsün yerine geçer mi?

Hayır. Bir PDF'in yapısal olarak ne içerdiğini rapor ederler. Bilinen kötü amaçlı yazılımları tanımlamaz veya niyeti değerlendirmez. Yama yapılmış bir okuyucu ve normal dikkatle birlikte yargı oluşturmak için kullanın.

Dosya kontrol edilmek üzere yükleniyor mu?

Bu araçlar için PDF, yerel olarak tarayıcınızda incelenir ve bir sunucuya gönderilmez.