危险的套娃：攻击者在 PDF 文件中隐藏恶意Word 文档
我要评论据BleepingComputer消息 ，危险娃攻F文文档日本计算机紧急响应小组 (JPCERT) 日前分享了在2023 年 7 月检测到的击者件中利用PDF文档的新型攻击——PDF MalDoc攻击，能将恶意 Word 文件嵌入 PDF 来绕过安全检测 。隐藏
JPCERT采样了一种多格式文件 ，恶意能被大多数扫描引擎和工具识别为 PDF ，危险娃攻F文文档但办公应用程序可以将其作为常规 Word 文档 (.doc) 打开 。击者件中多格式文件是隐藏包含两种不同文件格式的高防服务器文件 ，这些文件格式可根据打开它们的恶意应用程序解释为多种文件类型并执行 。
通常 ，危险娃攻F文文档攻击者使用多格式来逃避检测或迷惑分析工具 ，击者件中因为这些文件在一种格式中可能看起来安全 ，隐藏而在 另一种格式中隐藏恶意代码。恶意
在JPCERT的危险娃攻F文文档分析结果中 ，建站模板PDF 文档包含一个带有 VBS 宏的击者件中 Word 文档 ，如果在 Microsoft Office 中以 .doc 文件形式打开 ，隐藏则可以下载并安装 MSI 恶意软件文件 ，但JPCERT并未透露有关安装的恶意软件类型的任何详细信息。
需要注意 ，PDF 中的免费模板 MalDoc 无法绕过 Microsoft Office 上禁止自动执行宏的安全设置 ，用户需要通过点击相应设置或解锁文件来手动禁用 。
JPCERT 表示，虽然将一种文件类型嵌入另一种文件类型并不是什么新鲜事，但攻击者部署多格式文件来逃避检测的情况已时有发生 。
对于攻击者来说 ，源码下载PDF 中MalDoc 的主要优势在于能够躲避传统 PDF 分析工具（如 "pdfid"）或其他自动分析工具的检测 ，这些工具只会检查文件外层看似正常的结构 。
JPCERT给出的解决办法是采用多层防御和丰富的检测集 ，模板下载“OLEVBA”等其他分析工具仍然可以检测隐藏在多语言中的恶意内容 。此外 ，他们还分享了一条 Yara 规则，即检查文件是否以 PDF 签名开头 ，并包含指示 Word 文档 、Excel 工作簿或 MHT 文件的模式 ，服务器租用这与 JPCERT 在野外发现的规避技术一致。
相关文章
设想这样一个场景：攻防演练期间，作为防守方的某企业已竭尽所能部署了安全防御体系，但最终仍然被打穿。事后调查发现，竟是本该起到关键防护作用的某个安全产品存在0 Day，被攻击方成功利用。这正所谓“安全产2025-12-07
在Uptime Institute最近发布一项调研中显示，数据中心正在努力提高其物理基础设施的弹性，并在竞争激烈的劳动力市场中招聘熟练的员工，避免日益昂贵的停机现象出现。与此同时，即使数据中心正在面临2025-12-07
一般来说备份是应对网络威胁的重要组成部分之一只要备份系统未受损坏即使黑客加密了数据你都大可一笑置之狡猾的黑客当然也知道这一点现在，他们正在使用新的手法让你的备份毫无用场黑客动态播报 网络2025-12-07
随着计算机技术的不断发展，固态硬盘作为存储设备的新宠儿，其速度和性能优势逐渐受到广大用户的关注。然而，很多用户在想要将机械硬盘替换为固态硬盘时，常常面临重新安装系统的困扰。本文将分享一种简单操作，让你2025-12-07
最近，LockBit 勒索软件组织的同行似乎遇到了一些麻烦。上周，NoEscape 和 BlackCat勒索软件组织的 Tor 网站突然开始无法访问，与 NoEscape 相关的附属组织声称，组织里有2025-12-07
SM3257ENAA是一款功能强大的芯片，广泛应用于U盘、闪存卡等存储设备中。本文将为您详细介绍SM3257ENAA的使用技巧，从基础知识到高级功能，帮助您快速掌握该芯片的使用。一、SM3257ENA2025-12-07
最新评论