التحليل الفني لعينة PDF متعددة المراحل تحتوي على JavaScript من Adobe Acrobat

نظرة عامة

ينشر هذا المستودع تقريرًا تقنيًا يركز على الكود البرمجي لعملية الهندسة العكسية لعينة PDF خبيثة تحتوي على JavaScript مضمّن من Adobe Acrobat على مراحل. تستخدم العينة التي تم تحليلها حقل نموذج مخفيًا كمُحمّل أولي، وتعيد بناء جسم JavaScript للمرحلة الثانية عبر فك ترميز تدفقات Acrobat، وتقوم بفحص بيئة التشغيل واستغلال واجهات Acrobat الخاصة، وتنشئ مراحل اتصال شبكي، وأخيرًا تقوم بفك تشفير وفك ضغط وتنفيذ حمولة المرحلة الثالثة المؤجلة. الهدف من هذا المستودع هو التحليل الدفاعي والتوثيق. ينصب التركيز على السلوك القابل للملاحظة، وبنية الكود المسترد، وإعادة بناء سلسلة الهجوم.

النتائج الرئيسية

• يحتوي ملف PDF على مُحمّل المرحلة الأولى مضمّنًا في حقل نموذج مخفي (Btn1).
• يقوم JavaScript الخاص بالمرحلة الثانية المسترد بتعطيل مجموعات المحتوى الاختيارية لتقليل المؤشرات البصرية.
• تبني العينة أغلفة تنفيذ مميزة خاصة بها حول واجهات برمجة تطبيقات Acrobat مثل app.beginPriv() و app.endPriv().
• تقوم بـفحص الهدف، بما في ذلك:
  • viewerVersion