Le laboratoire de recherches avast ! a découvert la nouvelle astuce des cybercriminels pour endommager les fichiers PDF. Ils utiliseraient désormais des filtres d’images pour encoder et intégrer des logiciels malveillants dans des fichiers Adobe PDF.
Concrètement, la technique consiste à utiliser le filtre JBIG2Decode, spécialement conçu pour encoder les images monochromes, qui permet au fichier malveillant de se glisser dans un fichier PDF et de ne pas se faire repérer par les antivirus. Le contenu encodé est le célèbre CVE-2010-0188, une faille utilisant le format TIFF dans Adobe Reader.
« L’algorithme JBIG2 est ici impliqué parce que toutes les données – texte ou binaire – peuvent être déclarées comme une image monochrome en deux dimensions », explique Jiri Sejtko, analyste des virus chez avast ! « Qui aurait cru que l‘algorithme d’une image pure pouvait être utilisé comme un filtre standard sur n’importe quel objet stream ? Nous n’avions pas prévu un tel comportement. »
La définition de l’objet stream référencé à partir du tableau XFA montre que celui-ci ne comporte pas les données d’une image et qu’il pèse 3 125 octets. Deux filtres – FlateDecode et JBIG2Decode – doivent être utilisés pour décoder les données d’origine.
« Cette nouvelle astuce de la part des cybercriminels a pour le moment essentiellement été utilisée dans le cadre d’une attaque ciblée et relativement peu pour des attaques plus générales. C’est sans doute pourquoi personne d’autre n’est capable de le détecter », ajoute Jeri Sejtko.
Les nouvelles versions d’Adobe Reader corrigent cette faille, il est donc essentiel de mettre à jour le logiciel régulièrement.
