Ваши персональные данные стали товаром. Хакеры хотят их. Они больше не крадут их только с помощью грубой силы. Они обманывают вас, чтобы вы сами передали им информацию. Последняя уловка связана с обманными PDF-файлами. Вы можете столкнуться с одним из них, ища простое руководство по принтеру или налоговую форму. Эти документы выглядят нормально. Они ведут себя нормально. Но они являются ловушками.
Традиционный фишинг полагался на электронные письма, имитирующие доверенные источники. Вы получаете сообщение, которое кажется исходящим от Amazon, eBay или вашего банка. Тема письма создает ощущение срочности. «Обновите свой профиль», «Проблема с вашим заказом», «Подпишите свои документы». Нажатие на ссылку в этих письмах обычно приводит на поддельный веб-сайт. Он выглядит идентично настоящему. Вы вводите свои учетные данные. Вы передаете их хакеру.
Современные фильтры электронной почты стали лучше. Они перехватывают многие из этих поддельных сообщений и перемещают их в спам. Они отмечают подозрительные ссылки. Это заставило злоумышленников адаптироваться. Им нужен новый подход. Что-то, что проскользнет мимо автоматических защитных систем.
Распространение обманных PDF-файлов
На сцену выходят кликбейт-файлы PDF. Это не новая концепция сама по себе, но ее применение эволюционировало. Найдите драйвер программного обеспечения или юридический шаблон. Вы скачиваете PDF-файл. Он открывается в вашем браузере. Он выглядит безвредным. Расширение файла правильное. Содержание релевантно.
Но есть подвох.
Как только вы открываете файл, вы читаете не статический текст. Вы взаимодействуете с ловушкой. PDF-файл предложит вам что-то сделать. Он может попросить вас нажать на ссылку. Или он может попросить вас отметить поле, чтобы доказать, что вы человек. Эти проверки «Я не робот» распространены на законных сайтах. Google использует их постоянно. Вы узнаете этот шаблон. Вы доверяете этому шаблону.
Вы нажимаете на поле.
Это нажатие перенаправляет вас. Вы отправляетесь на вредоносный веб-сайт. Остальная часть атаки следует стандартным протоколам фишинга. Сайт крадет ваши данные для входа. Он устанавливает вредоносное программное обеспечение на ваше устройство. Сам PDF-файл — это просто механизм доставки. Это ключ, который открывает дверь.
«По сути, часть атаки после файла PDF не меняется. Но сам файл PDF является новым, потому что от него труднее защититься».
— Джада Стивала, Центр информационной безопасности Гельмгольца
Эта цитата взята из исследования этого конкретного вектора атаки. Стивала и ее команда выявили, как эти файлы обходят обнаружение. Содержимое вредоносного сайта знакомо. Целевая страница — это классический шаблон фишинга. Новизна заключается в типе файла, используемом для доставки пользователя на эту страницу.
Почему PDF-файлы сложнее заблокировать
Почему этот метод работает, когда фильтры электронной почты настолько сильны?
PDF-файлы сложны. Они могут содержать скрипты. Они могут выполнять код. Они могут открывать внешние ссылки. Большинство программ безопасности сканируют вложения в электронной почте. Они проверяют наличие известных сигнатур вредоносных программ. Они ищут подозрительные структуры кода. Хорошо созданный PDF-файл может избежать этих проверок. На поверхности он выглядит чистым. Вредоносное действие запускается только тогда, когда человек взаимодействует с ним.
Браузеры также вовлечены в процесс. Когда вы открываете PDF-файл в Chrome или Edge, браузер обрабатывает отображение. У него есть свой набор защитных мер. Но если PDF-файл просто отображает ссылку и ждет нажатия, браузер видит законный файл. Он видит пользователя, делающего добровольный выбор. Выбор ошибочен, но действие инициировано пользователем.
Это создает пробел. Автоматизированные системы ищут известные угрозы в процессе передачи. Они ищут активные попытки эксплуатации. Они не всегда ищут социальную инженерию, замаскированную под статические документы.
Распознавание угрозы
Как распознать эти ловушки?
PDF-файлы часто обещают что-то полезное. Руководство. Контракт. Квитанция. Они полагаются на ваше желание удобства. Вы хотите получить информацию быстро. Вы не хотите копаться в папках. Вы нажимаете на результат поиска. Вы скачиваете. Вы открываете.
Внимательно посмотрите на содержание. Требует ли PDF-файл немедленного взаимодействия? Легитимные документы редко требуют нажатия кнопок. Они не требуют, чтобы вы доказывали, что вы человек, нажимая на ссылку внутри самого документа. Если PDF-файл просит вас нажать, чтобы просмотреть полное содержимое, будьте осторожны. Если он просит вас обновить плагин для чтения файла, будьте очень осторожны.
Файл может иметь общее имя. Или он может использовать хитрый заголовок. «Printer_Driver_Install.pdf» может на самом деле быть фишинговой ссылкой. Имя не соответствует содержанию. Содержание пустое или минимальное. Единственное действие — это перенаправление.
Непрерывная битва
Это часть более крупной игры. Злоумышленники меняют тактику. Защитники обновляют правила обнаружения. Затем злоумышленники снова меняют подход. Кликбейт-файл PDF — это лишь текущая итерация. Он эксплуатирует доверие к форматам файлов. Он эксплуатирует привычку нажимать на ссылки.
Программное обеспечение безопасности улучшается. Исследователи выявляют эти шаблоны. Но пока обнаружение не станет идеальным, бдительность остается вашим лучшим инструментом. Не предполагайте, что файл безопасен, потому что это PDF. Не предполагайте, что ссылка в документе безопасна, потому что документ пришел из поисковой системы.
Данные ценны. Хакеры настойчивы. Методы эволюционируют. Будьте начеку.
Почему кликбейтные PDF-файлы исчезают (и чем они заменяются)
Война с цифровым обманом эволюционирует. С тех пор как исследователи, такие как команда Стивалы, начали отслеживать эти вредоносные PDF-файлы, их общее количество сократилось. Легкие цели уже исчерпаны. Но не расслабляйтесь. Злоумышленники все еще действуют, скрываясь на виду в виде поддельных инструкций к принтерам и налоговых деклараций. Цель не изменилась: украсть вашу личность. Изменился лишь метод — он стал чуть более изощренным.
Как оставаться в безопасности, когда приманка меняется? Обращайте внимание на очевидные признаки, потому что мошенники ленивы. Они хотят, чтобы вы нажали. Если PDF-файл кричит о необходимости немедленных действий, доверяйте своей интуиции. Это чувство раздражения или срочности — ваша лучшая защита. Мошенники полагаются на панику, чтобы обойти ваше логическое мышление.
Возьмем в качестве примера инструкцию к принтеру. Настоящее руководство объясняет настройки. Оно не просит вас покинуть страницу и ввести личные данные на странном внешнем сайте. Если документ, касающийся ваших картриджей, перенаправляет вас на портал входа в систему, это ловушка. Несоответствие — это сигнал.
Распознавание фишинга до того, как станет слишком поздно
Фишинг больше не ограничивается файлами. Он связан с электронной почтой. Тактика старая, но она все еще работает, потому что люди предсказуемы. Вы можете распознать такие попытки, обратив внимание на тему письма. Оно кажется странным? Слишком срочным? Слишком расплывчатым?
Возьмем Amazon. Если вы получите письмо, в котором утверждается, что ваш заказ отменен или имеет проблемы, проверьте свою историю заказов. Покупали ли вы что-либо? Скорее всего, нет. Если предпосылка письма не соответствует вашей реальности, это ложь.
Адрес отправителя — следующий признак. Банки и крупные розничные продавцы не отправляют электронные письма с общих аккаунтов gmail. Если вы видите письмо якобы от вашего банка, отправленное со случайной строки символов или от бесплатного почтового провайдера, немедленно удалите его. Это почти наверняка фишинг, созданный для того, чтобы выглядеть легитимно.
Прочитайте текст. Обратите внимание на угрозы. Мошенники любят создавать искусственные дедлайны. Они сообщают, что ваши данные будут потеряны навсегда, если вы не действуйте немедленно. Они угрожают приостановить работу вашего аккаунта. Эта спешка — тактика манипуляции. Она предназначена для того, чтобы заставить вас перестать думать и начать нажимать.
Когда они просят напрямую ввести пароли или номера кредитных карт по ссылке или в форме, это последний красный флаг. Легитимные компании редко запрашивают конфиденциальные данные таким образом. Если вы не уверены, не проникло ли уже вредоносное ПО на вашу систему через подозрительную ссылку, не гадайте. Отнесите устройство специалисту. Пусть его просканируют. Лучше перестраховаться, чем сожалеть.
Интернет полон ловушек. Ключ не в знании каждой новой уязвимости. Ключ — в распознавании паттернов. Будьте скептичны. Действуйте медленно. Если что-то кажется неправильным, скорее всего, так и есть.
