多段階Adobe Acrobat PDF JavaScriptサンプルの技術分析

概要

このリポジトリは、段階的なAdobe Acrobat JavaScriptを埋め込んだ悪意のあるPDFサンプルに関する、コード中心のリバースエンジニアリング解説を公開しています。 分析対象のサンプルは、初期ローダーとして隠しフォームフィールドを使用し、Acrobatストリームデコードを通じて第2段階のJavaScript本体を再構築し、環境トリアージとAcrobat固有のインターフェース悪用を実行し、ネットワーク連携のステージングを確立し、最終的に遅延実行される第3段階のペイロードを復号、解凍、実行します。 このリポジトリの目的は、防御的な分析と文書化です。焦点は、観測可能な動作、復元されたコード構造、攻撃チェーンの再構築に置かれています。

主な発見

• PDFには、隠しフォームフィールド（Btn1）に格納された埋め込みステージ1ランチャーが含まれています。
• 復元されたステージ2 JavaScriptは、オプションコンテンツグループを無効化して視覚的な痕跡を減らします。
• サンプルは、app.beginPriv()やapp.endPriv()などのAcrobat APIを中心に、独自の特権実行ラッパーを構築します。
• ターゲットトリアージを実行します。以下を含みます：
  • viewerVersion
  • viewerType
  • platform