日常生活中，經(jīng)常用到各種Word、PDF文件。但你是否想過(guò)，一份看似平常的DOC或PDF文檔，可能正攜帶著竊取機(jī)密的惡意代碼？

今天，帶你了解有關(guān)案例及相關(guān)防范措施。

典型案例

Word、PDF是怎樣成為“竊密工具”的？

攻擊者精心構(gòu)造了兩種誘餌文件。

套路1：嵌入惡意宏的Word文檔，“啟用內(nèi)容”就是“開(kāi)門(mén)揖盜”

攻擊者將惡意宏代碼嵌入Word文檔，偽裝成會(huì)議通知、合同、補(bǔ)丁說(shuō)明等常用文件，郵件標(biāo)題仿官方口吻，極具迷惑性。用戶(hù)打開(kāi)文檔后，會(huì)彈出“啟用宏才能正常顯示”的提示，一旦點(diǎn)擊“啟用內(nèi)容”，宏代碼將自動(dòng)執(zhí)行：解密釋放惡意載荷，生成偽裝成合法程序的可執(zhí)行文件，植入后門(mén)，實(shí)現(xiàn)開(kāi)機(jī)自啟、遠(yuǎn)程控機(jī)，全程靜默無(wú)提示。

套路2：偽裝成PDF的可執(zhí)行文件，“雙擊打開(kāi)”就會(huì)“引狼入室”

這種手法更具欺騙性，主要有兩種形式：一是“雙后綴偽裝”，文件名看似“xxx.pdf”，實(shí)際是“xxx.pdf.exe”，圖標(biāo)顯示為PDF，用戶(hù)雙擊后，看似打開(kāi)PDF，實(shí)則運(yùn)行可執(zhí)行程序，釋放后門(mén)；二是“惡意文件偽裝”，將惡意.desktop文件偽裝成PDF，用戶(hù)誤點(diǎn)后，觸發(fā)隱藏命令，下載竊密程序。

提醒

一、提高風(fēng)險(xiǎn)意識(shí)，防范陌生郵件。立即禁用Office軟件默認(rèn)宏執(zhí)行功能，僅允許受信任、已簽名的宏運(yùn)行；嚴(yán)禁打開(kāi)陌生郵件附件中的Word文檔，若確需打開(kāi)，先核實(shí)發(fā)件人身份，確認(rèn)無(wú)風(fēng)險(xiǎn)后，關(guān)閉宏功能再瀏覽，堅(jiān)決不點(diǎn)擊“啟用內(nèi)容”。

二、警惕PDF陷阱，規(guī)范打開(kāi)流程。接收PDF文件時(shí)，先查看文件名后綴，警惕“pdf.exe”雙后綴文件，避免雙擊直接打開(kāi)；通過(guò)正規(guī)PDF閱讀器打開(kāi)文件，開(kāi)啟安全模式，禁止PDF自動(dòng)運(yùn)行嵌入式程序；不接收陌生來(lái)源、無(wú)明確用途的PDF文件，尤其是壓縮包中的PDF附件。

三、強(qiáng)化終端防護(hù)，全面排查隱患。組織終端安全排查，刪除SystemProc.exe等惡意程序；實(shí)時(shí)監(jiān)控注冊(cè)表啟動(dòng)項(xiàng)異常寫(xiě)入，清除后門(mén)自啟配置；部署動(dòng)態(tài)沙箱等安全防護(hù)工具，深度查殺偽裝文檔。

來(lái)源：保密觀(guān)

編輯：楊雪

校對(duì)：馬儷伲

責(zé)編：劉睿娟

審核：李婭妮

監(jiān)制：譚榮皓