analyzing-malicious-pdf-with-peepdf
Faz seu agente analisar arquivos PDF suspeitos. Ele procura por códigos escondidos que podem ser perigosos, como os usados em e-mails de phishing.
O que ela faz
Esta ferramenta analisa arquivos PDF suspeitos para encontrar códigos maliciosos escondidos, como JavaScript ou programas perigosos. Ela ajuda a entender o que o arquivo PDF tenta fazer.
Quando usar
- ✓Ao receber um PDF estranho por e-mail.
- ✓Ao investigar um arquivo PDF que pode conter vírus.
- ✓Ao procurar por códigos perigosos dentro de um PDF.
Exemplo do que pedir para a IA
“Analise este PDF e me diga se ele é perigoso e o que ele faz.”
Quer saber mais? Abra as seções abaixo.
Como usar
O jeito mais fácil: copie a mensagem abaixo e cole no Claude, ChatGPT, Cursor ou outra IA. Ela lê a skill e segue as instruções.
Link da skill
Mensagem pronta para colar
Como funciona
A ferramenta primeiro verifica o PDF em busca de sinais de perigo. Depois, ela entra no arquivo para ver os códigos escondidos, como JavaScript, e tenta extrair e entender o que eles fazem.
Instalação
Jeito mais fácil: copie o link da skill e cole no Claude, ChatGPT ou Cursor pedindo para seguir as instruções.
No terminal (Claude Code, Codex, Cursor), na pasta do projeto:
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill analyzing-malicious-pdf-with-peepdfOu baixe só o arquivo:
curl -L https://raw.githubusercontent.com/mukul975/Anthropic-Cybersecurity-Skills/main/skills/analyzing-malicious-pdf-with-peepdf/SKILL.md -o SKILL.mdConteúdo técnico (SKILL.md)
Tradução do texto original do autor no GitHub. Os comandos e códigos estão como no original.
Analisando PDFs Maliciosos com peepdf
Quando Usar
- Ao triar anexos de PDF suspeitos de e-mails de phishing
- Durante a análise de malware de documentos de exploração baseados em PDF
- Ao extrair JavaScript embutido, shellcode ou executáveis de PDFs
- Para exame forense de artefatos de documentos "armados"
- Ao construir assinaturas de detecção para ameaças baseadas em PDF
Pré-requisitos
- Python 3.8+ com peepdf-3 instalado (pip install peepdf-3)
- pdfid.py e pdf-parser.py do conjunto de Didier Stevens
- Ambiente de análise isolado (VM ou sandbox)
- Opcional: PyV8 para emulação de JavaScript dentro do peepdf
- Opcional: Pylibemu para análise de shellcode
Fluxo de Trabalho
- Triagem com pdfid: Escaneie o PDF em busca de palavras-chave suspeitas (/JS, /JavaScript, /OpenAction, /Launch, /EmbeddedFile).
- Análise Interativa: Abra o PDF no modo interativo do peepdf para explorar a estrutura dos objetos.
- Identificar Objetos Suspeitos: Localize objetos que contenham JavaScript, streams ou dados codificados.
- Extrair Conteúdo: Descarregue streams suspeitos e decodifique filtros (FlateDecode, ASCIIHexDecode).
- Desofuscar JavaScript: Analise o JS extraído em busca de shellcode, heap sprays ou código de exploração.
- Verificar VirusTotal: Use
peepdf vtcheckpara cruzar o hash do arquivo com detecções de antivírus. - Gerar IOCs: Extraia URLs, domínios, hashes e assinaturas de shellcode.
Conceitos Chave
| Conceito | Descrição |
|---|---|
| /OpenAction | Ação automática executada quando o PDF é aberto |
| /JavaScript /JS | Código JavaScript embutido em objetos PDF |
| /Launch | Ação que inicia aplicativos externos |
| /EmbeddedFile | Arquivo embutido dentro da estrutura do PDF |
| FlateDecode | Filtro de compressão zlib usado para ocultar conteúdo |
| Object Streams | Objetos PDF armazenados em streams comprimidos |
Ferramentas e Sistemas
| Ferramenta | Propósito |
|---|---|
| peepdf / peepdf-3 | Análise interativa de PDF com emulação de JS |
| pdfid.py | Escaneamento rápido de triagem para palavras-chave suspeitas |
| pdf-parser.py | Análise profunda de objetos PDF em nível de objeto |
| VirusTotal | Consulta de hash e referência cruzada de detecção de antivírus |
| CyberChef | Decodifica e transforma payloads extraídos |
Formato de Saída
Analysis Report: PDF-MAL-[DATE]-[SEQ]
File: [filename.pdf]
SHA-256: [hash]
Suspicious Keywords: [/JS, /OpenAction, etc.]
Objects with JavaScript: [Object IDs]
Extracted URLs: [List]
Shellcode Detected: [Yes/No]
Embedded Files: [Count and types]
VirusTotal Detections: [X/Y engines]
Risk Level: [Critical/High/Medium/Low]
Perguntas frequentes
O que são '/JS' ou '/OpenAction' em um PDF?
São códigos ou instruções dentro do PDF que podem fazer coisas automaticamente quando você abre o arquivo, como executar um programa ou mostrar uma página específica, o que pode ser perigoso.
O que é 'FlateDecode'?
É uma forma de comprimir e esconder informações dentro do PDF. A ferramenta consegue 'descomprimir' para ver o que estava escondido.
Preciso instalar algo para usar?
Sim, você precisa ter o Python instalado e algumas ferramentas específicas como 'peepdf', 'pdfid' e 'pdf-parser'. É recomendado usar um ambiente seguro, como uma máquina virtual, para evitar riscos.
Detalhes
Descrição original do autor
Perform static analysis of malicious PDF documents using peepdf, pdfid, and pdf-parser to extract embedded JavaScript, shellcode, and suspicious objects. Use when triaging a suspicious PDF attachment from a phishing email, analyzing a PDF-based exploit document, or building detection signatures for weaponized PDF threats.
Popularidade
- Estrelas no GitHub
- 35 mil
- Posição no ranking
- #5462
- Licença
- Apache-2.0
- Atualizada em
- 31/08/2026
Comentários
- …
Mais skills deste repositório
abusing-dpapi-for-credential-access
Dá ao seu agente de IA instruções prontas para uma tarefa específica, para ele fazer melhor e mais rápido.
mukul975/Anthropic-Cybersecurity-Skills
abusing-shadow-credentials-for-privesc
Ensina seu agente de IA a escrever textos claros e bem estruturados.
mukul975/Anthropic-Cybersecurity-Skills
achieving-cmmc-level-2-compliance
Ajuda seu agente a preparar um ambiente para conformidade com CMMC Nível 2. Ele implementa requisitos de segurança e gerencia a documentação necessária.
mukul975/Anthropic-Cybersecurity-Skills
acquiring-disk-image-with-dd-and-dcfldd
Ajuda seu agente a criar cópias exatas de discos rígidos. Isso é útil para garantir que nenhuma informação seja perdida ou alterada durante investigações.
mukul975/Anthropic-Cybersecurity-Skills
Skills parecidas
data-throughput-accelerator
Faz seu agente acelerar a movimentação de grandes volumes de dados. Ele encontra gargalos e garante que os dados sejam transferidos de forma rápida e correta.
affaan-m/ECC
inventory-demand-planning
Ajuda seu agente a prever a demanda de produtos em lojas. Ele otimiza o estoque e planeja quando fazer promoções para vender mais.
affaan-m/ECC
market-research
Ajuda seu agente a realizar pesquisas de mercado e análises competitivas. Fornece resumos com atribuição de fontes.
affaan-m/ECC