Documentos PDF podem Carregar Vírus

Uma vulnerabilidade recém revelada apresenta alto risco de danos para quase todos os computadores pessoais e, para piorar, ela vem dentro de inocentes documentos PDF.

por Dinamérico Schwingel

Uma vulnerabilidade recém revelada apresenta alto risco de danos para quase todos os computadores pessoais e, para piorar, ela vem dentro de inocentes documentos PDF.

Todos estamos acostumados a receber cotidianamente informações sobre falhas em computadores que colocam em risco nossas senhas, nossas fotos de família e, até mesmo, nossas contas bancárias. Muitas das ameaças são amplamente divulgadas, mas não chegam a se transformar em problemas graves para a grande maioria das pessoas.

Entretanto, de tempos em tempos, surge uma falha de segurança que merece especial atenção. Em 2008, a falha revelada por Dan Kaminsky no sistema global de DNS poderia ter sido catastrófica se não houvessem sido aplicadas medidas corretivas nos principais servidores da internet.

Agora, na outra ponta da linha, foi revelada uma vulnerabilidade de segurança que está presente em quase todos os computadores pessoais e que faz parte da especificação de um padrão internacional aprovado pela ISO. Ou seja, não é uma falha, mas uma característica de um dos formatos de documento mais populares da atualidade, o PDF.

Documentos em formato PDF são usados por bancos, jornais, revistas, escolas e até pelos governos para distribuição de informações, pois permitem exibir o documento em formato muito similar a um documento em papel. Esses documentos são distribuídos via internet, por correio eletrônico, pen-drive, Orkut, Skype e inúmeras outras formas. A vulnerabilidade recém revelada, em linhas gerais, permite que seja criado um documento PDF que contém um programa de computador escondido dentro dele. Ao se abrir esse documento PDF, o programa escondido é executado, podendo apagar arquivos, enviar arquivos pela internet e, até mesmo, esconder outras cópias do programa em arquivos PDF que estejam acessíveis.

Essas características permitem a criação de cavalos-de-tróia combinados com worms (programas que se auto replicam), uma combinação especialmente destrutiva de malware. Um dos usos criminosos já registrados desse tipo de combinação codifica os arquivos do computador e exige o pagamento de um resgate para que se possa abrir novamente os arquivos. Outro, transforma o computador em um membro de uma rede de computadores infectados - um zumbi - que passa a ser usado para outros fins ilegais pelos invasores.

A fabricante do leitor de documentos PDF que está em quase todos os computadores atuais, o Adobe Reader, já divulgou as medidas preventivas que podem ser adotadas para desligar a funcionalidade que está vulnerável. Entretanto, outros programas similares possuem a mesma vulnerabilidade e ainda aguardam uma correção ou medida preventiva.

Baseado no histórico de vulnerabilidades passadas, prevemos que - nas próximas semanas - começarão a surgir os primeiros documentos infectados. Prevemos que esses primeiros documentos serão distribuídos principalmente por correio eletrônico e que as mensagens incentivarão as pessoas a abri-los usando as mesmas técnicas estelionatárias usadas atualmente, ou seja, citando o nome de pessoas famosas, prometendo um prêmio de um concurso, passando-se por mensagem de um órgão oficial ou empresa reconhecida.

Assim, urge que sejam tomadas medidas preventivas pelos administradores das redes de computadores para a efetiva proteção de seus usuários, pois o potencial de dano que pode ser causado pela exploração dessa vulnerabilidade é muito alto. Dado que o uso do formato PDF está disseminado na internet, é impossível pensar em bloquear documentos desse tipo. Além disso, dado que a vulnerabilidade não é uma falha per se, os fabricantes tendem a não retirar essa funcionalidade de seus produtos. O que resta então é usar os recursos disponíveis para desativar a funcionalidade vulnerável até que medidas corretivas eficazes tenham sido tomadas.

Cumprindo seu papel como membro da comunidade internacional de segurança da informação, a e-trust S. A. está colocando à disposição dos profissionais brasileiros de segurança um arquivo de configuração segura para o Adobe Reader, versões 8 e 9. Administradores de rede podem usar e adaptar livremente esse arquivo para distribuir a configuração globalmente em suas redes, desativando a funcionalidade vulnerável o mais breve possível.

A versão mais atual do arquivo está disponível no seguinte endereço: http://tinyurl.com/y2plgzs e a revelação original da vulnerabilidade está em http://blog.didierstevens.com/2010/03/29/escape-from-pdf/.

Embora não sejam conhecidos efeitos colaterias de seu uso, esse arquivo deve ser utilizado apenas por administradores de rede ou profissionais com capacitação para entender o seu funcionamento. A e-trust reforça que os profissionais devem continuar acompanhando as atualizações de segurança que serão divulgadas pelos fabricantes nos próximos dias para garantir a eficácia das proteções.