ไฟล์ PDF อันตรายขึ้นทุกวัน พบแฮกเกอร์ปล่อยมัลแวร์ผ่านช่องโหว่ใน Foxit Reader

การส่งไฟล์ให้กันในยุคปัจจุบันนั้น สกุลไฟล์ที่ผู้ใช้ในปัจจุบันมักจะใช้กันมากย่อมไม่พ้นไฟล์แบบ PDF เนื่องมาจากการที่ตัวไฟล์นั้นนอกจากจะสามารถรักษารูปลักษณ์ของเอกสารเดิมได้แล้ว ยังมีระบบอำนวยความสะดวกมากมาย ไม่ว่าจะเป็นระบบการช่วยกรอกแบบฟอร์ม ระบบลายเซ็นยืนยันเอกสาร เป็นต้น นั่นทำให้ไฟล์นี้ได้ตกมาเป็นเหยื่อให้แฮกเกอร์ใช้เป็นพาหะในการนำเข้ามัลแวร์หรือไวรัสเข้าเครื่องของเหยื่อ อย่างเช่นมัลแวร์ตัวนี้

ทีมงานวิจัย Check Point ได้รายงานถึงการตรวจพบมัลแวร์ตัวใหม่ที่มุ่งเน้นโจมตีผู้ใช้งานซอฟต์แวร์อ่านไฟล์ PDF ที่มีชื่อว่า Foxit Reader ซึ่งมัลแวร์ตัวดังกล่าวนั้นจะอาศัยช่องว่างเชิงโครงสร้างของตัวซอฟต์แวร์ดังกล่าวที่สร้างขึ้นบนพื้นฐานของภาษา .NET และ Python โดยแฮกเกอร์จะใช้เครื่องมือพิเศษ เช่น Exploit PDF Builder เพื่อสร้างไฟล์ PDF ที่แฝง Macro code ให้สามารถดาวน์โหลด และรันมัลแวร์ รวมทั้งคำสั่งที่ออกแบบมาให้หลอกลวงผู้ใช้งานให้ปฏิบัติตาม

โดยเมื่อผู้ใช้งานซอฟต์แวร์ตัวดังกล่าวได้ทำการเปิดไฟล์ PDF (ที่แฮกเกอร์สร้างขึ้นมา) ตัวซอฟต์แวร์ Foxit Reader จะเด้ง Pop up ขึ้นมาเตือนผู้ใช้งานเกี่ยวกับการเปิดไฟล์นี้ขึ้นมา ซึ่งโดยปกตินั้น เวลามี Pop up เด้งขึ้นมา ตัวเลือกแรกที่ผู้ใช้งานเลือกได้มักจะเป็นตัวเลือกที่ปลอดภัย แต่ด้วยโค้ดที่เขียนมาบนไฟล์ PDF ดังกล่าว กลับเปลี่ยนให้ตัวเลือกแรกที่ผู้ใช้งานคิดว่าเป็นตัวเลือกที่ปลอดภัย กลายเป็นการตอบตกลง เพื่อนำเข้า และรันมัลแวร์ตัวดังกล่าว

ภาพจาก https://research.checkpoint.com/2024/foxit-pdf-flawed-design-exploitation/

ทีมวิจัยจาก Check Point นั้นไม่ได้ระบุถึงผลในทางตรงต่อการติดมัลแวร์ตัวนี้ แต่มีการกล่าวถึงว่า มัลแวร์ตัวดังกล่าวจะใช้ในการเปิดช่องเพื่อนำพามัลแวร์ตัวอื่น ๆ ที่มีความร้ายแรงกว่าเข้ามาได้ ไม่ว่าจะเป็น VenomRAT, Agent-Tesla, Remcos, NjRATNanoCore RAT, Pony, Xworm, AsyncRAT, DCRat ซึ่งโดยส่วนมากแล้ว มักเป็นมัลแวร์ประเภทเข้าถึงระบบจากทางไกล (Remote Access Trojan) ที่สามารถนำมาสู่การโจมตีแบบลูกโซ่ตั้งแต่การขโมยข้อมูล ไปจนถึงการปล่อยมัลแวร์เรียกค่าไถ่ (Ransomeware) เพื่อกรรโชกทรัพย์จากเหยื่อโดยยึดไฟล์ในเครื่องเป็นตัวประกันได้

ปัจจุบันยังไม่มีรายงานว่า ผู้ใช้งานซอฟต์แวร์สำหรับการอ่านไฟล์ PDF ตัวอื่น เช่น Adobe Acrobat หรือ Soda PDF จะได้รับผลกระทบจากมัลแวร์ตัวเดียวกันหรือไม่ ? ขอให้ผู้ใช้งานไฟล์ PDF บ่อย ๆ ติดตามข่าวเกี่ยวกับมัลแวร์ตัวนี้อย่างใกล้ชิด