PDF 프로그램 취약점으로 인한 파일생성(/Launch /Action 명령어 취약점)

지난 4월 15일 블로그에 포스팅이 있는 취약점이다.

2010/04/15 - [보안관련소식] - Adobe PDF 취약점으로 인한 주의(/Launch /Action 명령어)

위의 글을 보면 알겠지만, 이 문제는 패치가 없다(물론, 조치사항은 있다)

따라서 사용자는 무조건 조심, 조심, 또 조심해야 하는 수 밖에 없다.

해당 PDF파일은 E-Mail로 전파 되었으며, 수집 된 화면이 없어서 VirusLab 님의 블로그에 있는 화면을 잠시 빌려쓰겠음

사용자가 첨부된 파일을 모르고 바로 읽었을 경우, 해당 화면을 볼 수 있다.

대충살펴보면 vbs1.vbs와 vbs2.vbs를 이용하여  악의적인 행위를 하려고 하는것으로 보여진다.

이 화면에서 열지않음을 선택하면 악성파일이 동작하지 않고 해당 PDF만 읽을 수 있다.

하지만 대부분 열기를 선택하는것이 일반적인 사용자의 선택 ㅠ_ㅠ

열기를 누르게 되면 악성 PDF파일 자체에 삽입되어 있는  VBS가 동작하게 된다.

- 첫번째 VBS File Info (vbs1.vbs)

- 두번째 VBS File Info (vbs2.vbs)

VBS가 동작을 완료 하면 정상적인 PDF화면을 보여주면서 exe파일을 생성한다.

- 생성 된 파일

다행스럽게도 정상적인 파일이 생성되지 않아, 실행되진 않는다;;