Chrome : alerte aux fichiers PDF ouverts

[devadip]

Des experts en sécurité ont découvert une faille dans Chrome qui permet d’accéder aux données de l’utilisateur via un PDF. Un correctif sera publié fin avril.

Pour la seconde fois de la semaine, des chercheurs et des experts en sécurité mettent en garde contre les failles liées aux fichiers PDF ou leurs visionneuses.

En l’occurrence, EdgeSpot rapporte qu’une brèche touche le navigateur Chrome puisque l’ouverture d’un PDF vérolé peut permettre à un pirate d’accéder aux données personnelles de l’utilisateur.

Une faille Zero-Day
Concrètement, il s’agit d’une faille de type zero-day, et elle concerne des fichiers créés entre septembre et décembre 2018. A l’ouverture du fichier dans Chrome, le pirate accède au chemin du disque dur, et collecte les données de l’utilisateur pour les envoyer sur un serveur distant.

Les experts d’EdgeSpot ont remarqué que les mêmes fichiers PDF, ouverts dans Acrobat Reader, ne posaient aucun problème, et ils ont dont alerté Google sur cette faille de Chrome.

Du côté des développeurs de Google, on promet un correctif pour fin avril, et d’ici là, il est donc conseillé d’éviter d’utiliser Chrome comme visionneuse des fichiers PDF.

source: https://www.silicon.fr/chrome-alerte-au ... 33925.html

[Malekal_morte]

La page avec les informations : https://blog.edgespot.io/2019/02/edgesp ... mples.html

Quelques exemples de détections de ces PDF.
Majoritairement génériques à part chez Microsoft avec Exploit:PDF/Ticanoti.A.
Kaspersky peut le détecter en HEUR:Trojan.PDF.Credlik.a

Ad-Aware Trojan.Agent.DQNC
AegisLab Trojan.PDF.Dqnc.4!c
ALYac Exploit.PDF.Agent
Arcabit Trojan.Agent.DQNC
BitDefender Trojan.Agent.DQNC
CAT-QuickHeal PDF.Script.34381
Emsisoft Trojan.Agent.DQNC (B)
eScan Trojan.Agent.DQNC
GData Trojan.Agent.DQNC (2x)
Ikarus PUA.JS.Trackware
McAfee PDF/Exploit.a
McAfee-GW-Edition Artemis!Trojan
Microsoft Exploit:PDF/Ticanoti.A
Qihoo-360 Win32/Trojan.b04
TrendMicro-HouseCall Trojan.PDF.TRACKEX.A
AhnLab-V3 Clean

~~

A noter qu'Adobe Reader a publié aussi des correctifs CVE-2019-7089.

il permet un document PDF spécialement conçu pour envoyer des requêtes SMB au serveur du hacker lorsque le fichier est ouvert. La faille permet aux pirates de voler à distance de hachage NTLM d'un utilisateur qui est inclus dans la demande SMB. En outre, la vulnérabilité peut aider les acteurs d'alerte de menace lorsque le PDF malveillant documenté est ouvert. Malheureusement, le correctif d'origine ne fonctionnait pas comme prévu, comme le chercheur a pu contourner.