Adobe Acrobat Reader: vulnerabilità zero-day da dicembre

Un ricercatore di sicurezza ha individuato una grave vulnerabilità zero-day in Adobe Acrobat Reader. Viene attivamente sfruttata dai cybercriminali attraverso specifici documenti PDF da almeno quattro mesi. Permette di raccogliere diversi dati dal computer. La software house californiana non ha ancora rilasciato una patch.

Non aprire PDF scaricati o ricevuti da fonti sconosciute

Haifei Li, fondatore di EXPMON (piattaforma che rileva gli exploit), ha comunicato che una vulnerabilità zero-day di Adobe Acrobat Reader viene sfruttata per vari attacchi a partire dal mese di dicembre. Non è noto come arriva sul computer delle vittime, ma è sufficiente aprire uno specifico documento PDF per avviare l’infezione.

Nel documento è nascosto un codice JavaScript che permette di raccogliere diverse informazioni sul computer, tra cui la versione del sistema operativo, successivamente inviate al server controllato dai cybercriminali. Analizzando il documento sono state trovate tracce in lingua russa. Dal server vengono scaricati altri payload che consentono di creare un’impronta digitale (fingerprinting) del dispositivo.

Se sono rispettate alcune condizioni (viene rilevata la posizione dell’utente tramite indirizzo IP) viene eseguito un successivo attacco che permette l’esecuzione di codice remoto e l’aggiramento della sandbox. In pratica, i cybercriminali prendono il controllo completo del computer.

Il ricercatore ha verificato che l’exploit funziona con la versione più recente di Acrobat Reader (26.001.21367) rilasciata il 2 aprile. Il ricercatore ha segnalato la vulnerabilità ad Adobe, ma non è stata ancora distribuita la patch.

In attesa dell’aggiornamento, gli utenti non devono aprire documenti PDF scaricati o ricevuti da fonti sconosciute. L’exploit può essere rilevato con un tool di monitoraggio del traffico. Gli indirizzi dei server remoti sono 169.40.2.68:45191 e 188.214.34.20:34123. In alternativa si può cercare la stringa “Adobe Synchronizer” nel campo User Agent del traffico HTTP/HTTPS. Eventuali documenti sospetti possono essere caricati su EXPMON per l’analisi.