PDF pericolosi: il 22% degli attacchi proviene da questi file

Apr 07, 2025 Marina Londei Approfondimenti, Attacchi, Attacchi, In evidenza, Minacce, Minacce, News, RSS 0

I file PDF possono diventare molto pericolosi: stando a una recente ricerca di Check Point Research, il 68% degli attacchi avviene tramite email, e quelli tramite PDF rappresentano il 22% di tutti gli allegati malevoli.

Per capire l’impatto dell’uso di questa tecnica basta pensare che lo scorso anno sono stati aperti oltre 400 miliardi di PDF e 16 miliardi sono stati modificati con Adobe Acrobat. Questi documenti sono usati come formato standard di file da più dell’87% delle organizzazioni; non stupisce quindi che siano uno dei canali preferiti d’attacco per i cybercriminali.

Una delle caratteristiche che rende i PDF particolarmente adatti per gli attacchi è la loro complessità: la specifica ISO 32000 di questi file fornisce un’ampia gamma di funzionalità che vengono usate dai cybercriminali per eludere i sistemi di sicurezza.

Se fino a qualche anno fa i cybercriminali sfruttavano JavaScript e altri contenuti dinamici incorporati nei PDF, oggi questi exploit non sono più così efficaci: molti tool di sicurezza e lettori PDF sono in grado di individuarli. Per questo motivo, negli ultimi anni i cybercriminali si sono affidati alle tecniche di ingegneria sociale, facendo leva sul fatto che il PDF è un formato sicuro e considerato affidabile.

Generalmente gli attacchi basati su PDF sfruttano link dannosi, codici o altri contenuti malevoli; queste tecniche, seppur meno complesse a livello tecnologico, sono più difficili da rilevare dai sistemi automatici, in quanto dipendono quasi esclusivamente dalla fiducia che ripone l’utente nei documenti.

Le tecniche d’attacco

Tra le tecniche di attacco più comuni descritte da Check Point Research c’è quella che usa link a siti di phishing o per il download di altri file dannosi. L’URL di solito è accompagnato da un’immagine che replica marchi affidabili, aumentando quindi la fiducia dell’utente.

“Ciò che rende queste campagne difficili da rilevare è che gli attaccanti controllano tutti gli aspetti del link, del testo e dell’immagine, rendendo facile la modifica di uno qualsiasi di questi elementi. Questa flessibilità consente a questi attacchi di resistere agli strumenti di sicurezza basati sulla reputazione o a quelli che si basano su firme statiche” spiegano i ricercatori di Check Point Research. “Anche se questi attacchi comportano un’interazione umana (la vittima deve cliccare sul link), questo è spesso un vantaggio per gli aggressori, poiché le sandbox e i sistemi di rilevamento automatizzati hanno difficoltà a svolgere compiti che richiedono un processo decisionale umano“.

Per eludere il controllo dei sistemi di sicurezza, i cybercriminali usano una serie di tecniche di evasione degli URL; tra queste c’è l’uso di servizi di reindirizzamento noti per mascherare la vera destinazione del link. In molti attacchi basati su PDF vengono usati anche i codici QR per aggirare gli scanner tradizionali; in altri casi, gli attaccanti cercano di spingere la vittima a chiamare un numero di telefono, rendendo vani i controlli di sicurezza.

Per aggirare l’analisi statica degli strumenti di sicurezza, i cyberattaccanti offuscano i contenuti del file complicando l’attività. Le annotazioni che definiscono le aree cliccabili vengono codificate in modo che gli strumenti di analisi statica non siano in grado di riconoscerli; inoltre, i cybercriminali usano spesso crittografia, filtri e oggetti indiretti per oscurare i contenuti e i comportamenti malevoli.

Infine, per aggirare i controlli del machine learning, i cybercriminali si affidano alle immagini per costringere gli strumenti di sicurezza a fare affidamento sul riconoscimento ottico per estrarre il testo, rendendo il processo più incline a errori. Gli attaccanti possono inoltre aggiungere testo invisibile o molto piccolo per ingannare i modelli NLP, complicando ancora una volta l’analisi.

Proteggersi dagli attacchi basati su PDF

Per ridurre il rischio di attacchi basati su PDF, Check Point Research consiglia prima di tutto di verificare il mittente dell’email per accertarsi che sia legittimo. In ogni caso, bisogna prestare la massima attenzione agli allegati, anche se la comunicazione sembra legittima: se non si è in attesa di un file, è sempre meglio non aprire l’allegato.

Un metodo per verificare la legittimità del file è passarci sopra con il mouse e controllare l’URL completo. I link abbreviati e quelli che usano servizi di reindirizzamento sono un buon indicatore di possibili truffe. Check Point consiglia inoltre di usare un visualizzatore di PDF con funzionalità di sicurezza integrate e disattivare JavaScript nel programma, se supportato.

In generale, è opportuno mantenere aggiornati il sistema operativo e gli strumenti di sicurezza in uso e, in parte, fidarsi del proprio istinto se qualche caratteristica del file appare strana o errata (errori di battitura, richieste di credenziali o formattazione insolita).

Condividi l'articolo