Как вычислить вшитого в PDF шифровальщика: практические методы обнаружения

Получили на руки PDF-файл, а он ведёт себя странно — при открытии появляются подозрительные окна, документ запускает скрипты, размер файла не соответствует содержимому. Скорее всего, перед вами файл с вредоносным кодом. Разберёмся, как такие вещи выявить до того, как будет нанесён ущерб.

Почему PDF стал излюбленным форматом для атак

Формат PDF разрешает встраивать JavaScript, запускать встроенные приложения и автоматические действия. Это открывает широкие возможности для манипуляций. Многие пользователи воспринимают PDF как безобидный документ — ведь «это просто текст». На практике такой файл может оказаться замаскированной программой-шифровальщиком или бэкдором.

Первичный визуальный осмотр

Аномальный размер файла

Посмотрите на размер. Типовой договор или счёт занимает 50–200 КБ. Если «копия паспорта» или «квитанция об оплате» весит несколько мегабайт — это тревожный сигнал. Встроенный исполняемый код или дополнительные объекты увеличивают файл.

Странное расширение и имя файла

Основные признаки подозрительного имени:

• Двойное расширеждение: document.pdf.exe (при отключённых расширениях в Windows выглядит как document.pdf).
• Случайный набор символов в имени или нерелевантное описание («важный_документ_срочно_откройте.pdf»).
• Отсутствие логичной связи между содержимым письма и вложенным файлом.

Подозрительные объекты внутри PDF

Откройте документ в безопасном просмотрщике (например, в браузере) и оцените содержимое. Вас должны насторожить поля ввода, неожиданные формы или активные области, которых вы не запрашивали.

Технические методы анализа

Если визуальный осмотр не дал результатов, а сомнения остаются, переходим к более глубокой проверке.

Изучение структуры файла в текстовом редакторе

PDF — это текстовый формат. Откройте файл в редакторе (Notepad++, VS Code) и поищите ключевые сигнатуры опасного содержимого.

Признаки, которые легко обнаружить:

• Наличие JavaScript: строки с /JS, /JavaScript, eval(, unescape(.
• Запуск внешних команд: упоминания /Launch, cmd.exe, WScript.Shell.
• Поток данных с метаданными исполняемого кода: /Subtype /Action с неочевидными действиями.
• Обфусцированные (запутанные) строки — слишком длинные шестнадцатеричные последовательности, которые не похожи на обычный текст или изображения.

Декомпрессия и извлечение скрытых данных

Не весь вредоносный код лежит на поверхности. Часть данных может быть сжата. Используйте утилиты вроде pdfid или peepdf для извлечения потоков. После распаковки поищите исполняемые вставки (PE-заголовки, макросы VBA) внутри документа.

Песочница (sandbox) — самый надёжный метод

Запустите файл в изолированной среде и наблюдайте за поведением:

• Windows Sandbox (Pro/Enterprise версии Windows): быстро, встроено в систему.
• VirtualBox / VMware с виртуальной машиной без общих папок.
• Онлайн-сервисы (например, Any.Run, Hybrid Analysis) — позволяют увидеть, какие сетевые запросы и системные вызовы делает файл.

На что обращать внимание в песочнице:

1. Попытки сетевых подключений к подозрительным адресам.
2. Изменение файлов в системе, особенно массовое переименование или создание файлов с новыми расширениями.
3. Появление процессов шифрования или управления службами.
4. Запросы на повышение привилегий (UAC).

Сравнение методов обнаружения

Что делать в зависимости от вашей ситуации

Вы — обычный пользователь, получили подозрительный файл

Не открывайте его. Проверьте расширение в системе (включите отображение расширений в проводнике). Если файл пришёл по почте — свяжитесь с отправителем по другому каналу и уточняли ли он действительно этот документ. Удалите файл или поместите в карантин антивируса.

Вы — системный администратор или специалист по безопасности

Используйте комбинированный подход: автоматический анализ в песочнице (Cuckoo, Joe Sandbox) + проверка сигнатур антивирусом + ручной разбор через pdfid и peepdf для неочевидных случаев. Настройте фильтрацию почты на блокировку PDF с исполняемым содержимым.

Вы — исследователь вредоносного ПО

Вам потребуется полный цикл: статический анализ (IDA Pro, Ghidra для встроенных эксплойтов), динамический анализ в отладчике, сетевой захват трафика. Обращайте внимание на техники обхода песочниц — современные шифровальщики умеют определять виртуальное окружение и «молчать» в нём.

Частые ошибки при проверке PDF

Типичные промахи:

• «Открою в браузере, там безопасно» — браузер не даёт полной защиты, особенно если в PDF используется уязвимость в самом просмотрщике.
• — свежие модификации шифровальщиков часто не детектируются сигнатурами в первые дни.
• Проверка только расширения — злоумышленники маскируют вредоносный файл под легитимный документ.
• Игнорирование сетевой активности — даже если файл не шифрует данные сразу, он может связаться с управляющим сервером и получить команду.
• Открытие на рабочей машине — даже из любопытства. Один клик может запустить цепочку необратимых действий.

Практические рекомендации

1. Всегда включайте отображение расширений файлов в системе. Это закроет самый частый вектор с двойными расширениями.
2. Используйте просмотрщики без поддержки JavaScript для подозрительных файлов: SumatraPDF, PDF-XChange с отключённым скриптингом.
3. Настройте почтовый шлюз на отключение макросов и скриптов в прикреплённых документах.
4. Держите ПО обновлённым — уязвимости в Adobe Acrobat и других просмотрщиках регулярно используются для доставки вредоносного кода.
5. Запускайте сомнительные файлы только в изолированной среде — виртуальная машина с отключённым общим буфером обмена и сетью.
6. Анализируйте сетевой трафик после открытия файла — даже если ничего визуально не произошло, вредонос мог отправить запрос на управляющий сервер.

Заключение

Обнаружение вредоносного шифровальщика в PDF — это многоуровневый процесс. Начинайте с простого: проверьте расширение, размер и имя файла. Если что-то смущает — загляните в структуру файла через текстовый редактор. Для уверенности используйте песочницу. Главное правило: никогда не открывайте подозрительный PDF на рабочей машине без крайней необходимости. Лучше потратить лишние пять минут на проверку, чем восстанавливать зашифрованные данные или разбираться с утечкой информации.