- Angreifer verwenden PDFs mit Links, unsichtbaren Ebenen und QR-Codes, um Fernzugriff auszuführen und Daten zu stehlen.
- Kampagnen geben sich als Marken wie Microsoft oder DocuSign aus und umgehen Filter mit legitimen Microsoft 365-Einreichungen.
- Auf Mobilgeräten wurden im Rahmen einer globalen Operation in über 50 Ländern mehr als 20 PDFs und 630 Phishing-Seiten bereitgestellt.
- Schützen Sie sich: Überprüfen Sie die Absender, verwenden Sie Sandboxing, gewähren Sie keinen Remotezugriff und aktivieren Sie 2FA.
Eine neue Welle von Betrügereien nutzt die Vertrauen, dass PDF-Dateien generieren Um Mobiltelefone und Computer zu infiltrieren. Kriminelle senden scheinbar normale Dokumente, die beim Öffnen Downloads oder Verbindungen zu von ihnen kontrollierten Websites auslösen, mit dem Ziel, die vollständige Kontrolle über das Gerät zu erlangen.
Aktuelle Forschungsergebnisse zeigen, dass diese Kampagnen eine Mischung aus Social Engineering, versteckte Links und Folgeanrufe, um technische und menschliche Abwehrmaßnahmen zu umgehen. Dies kann zum Diebstahl von Anmeldeinformationen, Kamera- und Mikrofonzugriff oder zur unbeaufsichtigten Installation von Remote-Access-Tools führen.
So funktioniert PDF-Betrug
Der Betrug beruht darauf, dass die PDF-Format wird als „sicher“ wahrgenommen Sowohl im privaten als auch im geschäftlichen Umfeld treffen Dateien per E-Mail, Messaging oder über soziale Medien unter dem üblichen Vorwand ein, beispielsweise als Rechnungen, Lieferbenachrichtigungen oder Zahlungsbelege.
Innerhalb des Dokuments können sie ausgeblendet werden bösartige Elemente als:
- Getarnte Links, die zu gefälschten Anmeldeseiten führen.
- QR-Codes, die zum Download von Malware weiterleiten.
- Kommentare oder unsichtbare Ebenen mit Skripten oder Anmeldeinformationsanforderungen.
Mehrere Gruppen kombinieren diesen Köder mit der Taktik der Callback-Phishing (TOAD): Nach dem PDF ruft ein gefälschter „Support“ das Opfer an und überzeugt es, eine Fernsteuerungssoftware (z. B. AnyDesk oder Quick Assist) zu installieren. Mit diesem Schritt erhält der Angreifer die Gesamtverwaltung der Ausrüstung ohne dass eine komplexe Sicherheitslücke ausgenutzt werden muss.
Kampagnen, die sich als Marken ausgeben und Filter umgehen
Zwischen Mai und Juni wurde ein Anstieg der E-Mails beobachtet PDF-Anhänge, die sich als Microsoft oder DocuSign ausgeben um Glaubwürdigkeit zu erlangen. In einigen Fällen wurden die E-Mails mit legitimen Microsoft 365-Konfigurationen (Direct Send) gesendet, sodass sie für Anti-Phishing-Filter schwer zu erkennen waren.
Technische Analysen beschreiben PDFs mit eingebettete Formulare, wie sie beispielsweise für Erstellen Sie bearbeitbare PDFs, die auf gefälschte Portale, manipulierte Metadaten mit verschleierten URLs und E-Mail-Ketten verweisen, die scheinbar aus legitimen Strömen stammen, um Bypass-Steuerungen Perimeter.
- Formulare, die Benutzernamen und Passwörter auf geklonten Websites erfassen.
- In Metadaten oder nicht sichtbaren Ebenen versteckte URLs.
- Von gültigen Unternehmensdiensten gesendete Nachrichten, um Misstrauen zu vermeiden.
Mobile Geräte im Fokus
Im mobilen Bereich haben unabhängige Untersuchungen ergeben, Kampagne, die den Postdienst imitierte mit PDFs von angeblichen Lieferungen; deshalb ist es wichtig zu wissen So öffnen Sie eine PDF-Datei auf Ihrem MobiltelefonZiel war es, Benutzer auf Phishing-Seiten oder Downloads umzuleiten, die die Übernahme des Telefons erleichterten.
Dieselbe Studie berichtete über mehr als 20 schädliche PDF-Dateien weltweit verbreitet, mindestens 630 aktive Phishing-Seiten und Aktivitäten in mehr als 50 Ländern, was die internationaler Maßstab dieser Modalität.
Die Dokumente enthielten Links in unsichtbaren Ebenen, was erschwert die Analyse von einigen mobilen Antivirenprogrammen. Darüber hinaus haben Benutzer auf kleinen Bildschirmen und in Eile weniger Zeit, ein PDF vor dem Öffnen zu überprüfen.
Warum PDF der bevorzugte Kanal ist
Cybersicherheits-Observatorien weisen darauf hin, dass bösartige PDFs bereits einen erheblichen Teil der Malware, die per E-Mail verbreitet wird, bei einigen Messungen über 20 %. Das Format ist für Angreifer aus mehreren Gründen attraktiv.
- Es genießt das Vertrauen der Benutzer und Unternehmenssysteme.
- Einige Antiviren-Engines haben Inspektionsbeschränkungen in seinem internen Inhalt.
- Ermöglicht das Einbetten von verschlüsseltem oder fragmentiertem Material, das nur Es wird beim Öffnen aktiviert.
Auch die Nutzung von PDFs als Kanal für Banking-Trojaner wurde beobachtet. Spyware, wodurch sich die Auswirkungen sowohl auf Privathaushalte als auch auf Unternehmen verstärken.
Infektionskette in Lateinamerika beobachtet
Spezialisten haben eine Kampagne in der Region dokumentiert mit einem Remote Access Trojan (RAT) namens Ratty, die per E-Mail mit Rechnungsinformationen verbreitet wurden. Obwohl diese Art von Betrug in Peru am weitesten verbreitet war, kann er sich schnell verbreiten.
Die typische Sequenz beginnt mit einer „Rechnung.pdf“, die eine Link zu einer HTML-Seite. Beim Öffnen wird ein VBS-Skript heruntergeladen und ausgeführt, das wiederum den RAT einführt. Einmal im System angekommen, kann der Angreifer mach ein Bildschirmfoto, verwenden Sie Kamera und Mikrofon oder zeichnen Sie Tastatureingaben auf.
Zu seinen zusätzlichen Funktionen gehören: automatische Anmeldung, Maussteuerung und Bildschirmeinfrieren sowie Datenexfiltration. Cloud-Dienste bekannt als Google Drive, Dropbox oder MediaFire, was die Zustellrate verbessert.
Der Anstieg der Telearbeit, gepaart mit Verbindungen von öffentliche WLAN-Netzwerke, führt dazu, dass viele Benutzer Unternehmens-E-Mails außerhalb kontrollierter Umgebungen abrufen, was dieser Art von Eindringen eine zusätzliche Tür öffnet.
Risikozeichen und wie Sie sich schützen können
Vermeiden Sie grundsätzlich das Öffnen Unerwartete PDFs, auch wenn sie scheinbar von einer bekannten Entität stammen. Seien Sie bei dringenden oder bedrohlichen Nachrichten vorsichtig und überprüfen Sie die vollständige Adresse des Absenders, bevor Sie mit dem Dokument interagieren.
- Öffnen Sie keine PDFs von unbekannten oder unerwarteten Absendern.
- Überprüfen Sie die gesamte E-Mail und die Domänen, auch wenn der Name bekannt ist.
- Nicht scannen QR-Codes in unaufgeforderten Dokumenten.
- Halten Sie Ihren PDF-Reader und Ihre Antivirensoftware auf dem neuesten Stand.
- Überprüfen Sie die Metadaten und zeigen Sie eine Vorschau der Datei an, bevor Sie auf Links oder Formulare klicken.
- Analysieren Sie Dokumente in Umgebungen Sandkasten wenn es möglich ist.
- Schulen Sie Ihre Mitarbeiter darin, Social Engineering und Anzeichen von Dringlichkeit zu erkennen.
- Verwenden Sie sichere Passwörter und aktivieren Sie Zwei-Faktor-Authentifizierung.
- Installieren Sie auf Mobilgeräten Abwehrmaßnahmen, die Phishing-Links und ungewöhnliches Verhalten erkennen.
- Laden Sie im Zweifelsfall die Datei auf einen Dienst wie VirusTotal bevor Sie es öffnen.
- Gewähren Sie auf Anfrage von Fremden keinen Fernzugriff und installieren Sie keine Überwachungstools.
Wenn Sie vermuten, dass Sie eine schädliche PDF-Datei geöffnet haben, ändern Sie wichtige Anmeldeinformationen, überprüfen Sie die Berechtigungen von Apps (Kamera, Mikrofon, Dateien), führen Sie einen vollständigen Scan durch und wenden Sie alle ausstehenden System- und Anwendungsupdates an.
Die böswillige Nutzung von PDF ist nicht neu, aber die Kombination von glaubwürdige Köder, Filterumgehung und betrügerischer Telefonsupport haben es zu einem besonders lukrativen Angriffsvektor für Angreifer gemacht. Wer ihre Tricks kennt und heute grundlegende digitale Hygienemaßnahmen anwendet, kann in die Falle tappen oder sie rechtzeitig neutralisieren.