Bad-Pdf

Bad-PDF crea un file PDF malevolo per rubare hash NTLM (NTLMv1/NTLMv2) da macchine Windows, sfruttando una vulnerabilità divulgata dal team di Checkpoint per creare il file PDF malevolo. Bad-PDF legge gli hash NTLM utilizzando il listener di Responder.

Questo metodo funziona su tutti i lettori PDF (qualsiasi versione) La maggior parte delle soluzioni EDR/Endpoint non riesce a rilevare questo attacco.

Riferimento : https://research.checkpoint.com/ntlm-credentials-theft-via-pdf-files/

Aggiornamento: 14/5/2018

Adobe ha rilasciato un aggiornamento di sicurezza (APSB18-09) per risolvere questa vulnerabilità, alla quale è stato assegnato CVE-2018-4993.

Disclaimer:

Tutto il codice fornito in questo repository è solo a scopo educativo/di ricerca. Ogni azione e/o attività relativa al materiale contenuto in questo repository è di esclusiva responsabilità dell'utente. L'uso improprio del codice in questo repository può comportare l'avvio di azioni penali contro le persone in questione. L'autore non sarà ritenuto responsabile in caso di azioni penali intentate contro individui che abusano del codice in questo repository per violare la legge.

Dipendenza:

Responder/Kali Linux

Utilizzo:

python badpdf.py

Esegui Bad-PDF in Kali linux:

Responder in attesa dell'hash NTLM:

Esegui il file Bad-PDF generato su una macchina Windows e ottieni l'hash NTLM: :)

Mitigazioni:

* Le patch dei fornitori non sono disponibili per questa vulnerabilità

Patch Adobe: https://helpx.adobe.com/security/products/acrobat/apsb18-09.html

• Microsoft ha rilasciato un miglioramento di sicurezza opzionale [0] alla fine dell'anno scorso che offre ai clienti la possibilità di disabilitare l'autenticazione NTLM SSO come metodo per le risorse pubbliche.

• Disabilitare l'accesso SMB esterno nel firewall per prevenire la fuga di hash NTLM su Internet

Regola Yara:

https://github.com/InQuest/yara-rules/blob/master/NTLM_Credentials_Theft_via_PDF_Files.rule

Autore: Deepu TV; Sentiti libero di contattarmi @twitter.com/DeepZec