Analisando Malware em PDF com PDFiD

Quando Usar

• Um anexo de PDF suspeito foi sinalizado pela segurança de e-mail ou relatado por um usuário
• Você precisa determinar se um PDF contém JavaScript embutido, shellcode ou código de exploração
• Triagem de documentos PDF antes de abri-los em um sandbox ou ambiente de análise
• Extração de executáveis, scripts ou URLs embutidos de objetos PDF maliciosos
• Análise de kits de exploração de PDF que visam o Adobe Reader ou outras vulnerabilidades de visualizadores de PDF

Não use para analisar o conteúdo visual renderizado de um PDF; isso é para análise estrutural do formato de arquivo PDF em busca de objetos maliciosos.

Pré-requisitos

• Python 3.8+ com as ferramentas PDF de Didier Stevens instaladas (pip install pdfid pdf-parser)
• peepdf instalado para análise interativa de PDF (pip install peepdf)
• pdftotext do poppler-utils para extrair conteúdo de texto com segurança
• YARA com regras específicas para PDF para identificação de famílias de malware
• VM de análise isolada sem um leitor de PDF instalado (para evitar abertura acidental)
• CyberChef para decodificar fluxos Base64, hex ou deflate embutidos

Fluxo de Trabalho

Etapa 1: Triagem Inicial com PDFiD

Escaneie o PDF em busca de palavras-chave e estruturas suspeitas:

# Run PDFiD to identify suspicious elements
pdfid suspect.pdf

# Expected output analysis:
# /JS           - JavaScript (HIGH risk)
# /JavaScript   - JavaScript object (HIGH risk)
# /AA           - Auto-Action triggered on open (HIGH risk)
# /OpenAction   - Action on document open (HIGH risk)
# /Launch       - Launch external application (HIGH risk)
# /EmbeddedFile - Embedded file (MEDIUM risk)
# /RichMedia    - Flash content (MEDIUM risk)
# /ObjStm       - Object stream (used for obfuscation)
# /URI          - URL reference (contextual risk)
# /AcroForm     - Interactive form (MEDIUM risk)

# Run with extra detail
pdfid -e suspect.pdf

# Run with disarming (rename suspicious keywords)
pdfid -d suspect.pdf

PDFiD Risk Assessment:
━━━━━━━━━━━━━━━━━━━━━
HIGH RISK indicators (any count > 0):
  /JS, /JavaScript  -> Embedded JavaScript code
  /AA               -> Automatic Action (triggers without user interaction)
  /OpenAction       -> Code runs when document is opened
  /Launch           -> Can launch external executables
  /JBIG2Decode      -> Associated with CVE-2009-0658 exploit

MEDIUM RISK indicators:
  /EmbeddedFile     -> Contains embedded files (could be EXE/DLL)
  /RichMedia        -> Flash/multimedia (Flash exploits)
  /AcroForm         -> Form with possible submit action
  /XFA              -> XML Forms Architecture (complex attack surface)

LOW RISK indicators:
  /ObjStm           -> Object streams (obfuscation technique)
  /URI              -> External URL references
  /Page             -> Number of pages (context only)

Etapa 2: Analisar Estrutura do PDF com pdf-parser

Examine os objetos suspeitos identificados pelo PDFiD:

# List all objects referencing JavaScript
pdf-parser --search "/JavaScript" suspect.pdf
pdf-parser --search "/JS" suspect.pdf

# List all objects with OpenAction
pdf-parser --search "/OpenAction" suspect.pdf

# Extract a specific object by ID (example: object 5)
pdf-parser --object 5 suspect.pdf

# Extract and decompress stream content
pdf-parser --object 5 --filter --raw suspect.pdf

# Search for embedded files
pdf-parser --search "/EmbeddedFile" suspect.pdf

# List all objects with their types
pdf-parser --stats suspect.pdf

Etapa 3: Extrair e Analisar JavaScript Embutido

Extraia o código JavaScript de objetos PDF:

# Extract JavaScript using pdf-parser
pdf-parser --search "/JS" --raw --filter suspect.pdf > extracted_js.txt

# Alternative: Use peepdf for interactive JavaScript extraction
peepdf -f -i suspect.pdf << 'EOF'
js_analyse
EOF

# peepdf interactive commands for JS analysis:
# js_analyse          - Extract and show all JavaScript code
# js_beautify         - Format extracted JavaScript
# js_eval <object>    - Evaluate JavaScript in sandboxed environment
# object <id>         - Display object content
# rawobject <id>      - Display raw object bytes
# stream <id>         - Display decompressed stream
# offsets             - Show object offsets in file

# Script Python para extração abrangente de JavaScript em PDF
import subprocess
import re

# Extrai todos os fluxos e procura por JavaScript
resultado = subprocess.run(
    ["pdf-parser", "--stats", "suspect.pdf"],
    capture_output=True, text=True
)

# Encontra IDs de objetos contendo referências JavaScript
objetos_js = []

…