Schadsoftware in PDF Dokumenten hat weitreichende Folgen. Bringt die Datei selber Malware mit, kann so eine Welle von infizierten Geräten losgetreten werden. Aber auch für schutzbedürftige Berufsgruppen wie z.B. Journalisten kann das Tracking über PDF Dokumente zum Problem werden. Sind die beliebten Formate doch ein bevorzugtes Austauschformat. Dabei kommt es auch in dem von Adobe ins Leben gerufene Format vor, dass dies Schadsoftware enthalten kann.
Herrscht bei PDF Dokumenten ein Sicherheitsproblem?
Grundsätzlich zählen Dateien im PDF Format zu Dokumenten, in denen es viel Arbeit macht Schadsoftware unterzubekommen. Dabei ist es nicht unmöglich – es ist aber z.B. im Vergleich zu Word Dokumenten mit Makros mit mehr Aufwand verbunden. Dabei gibt es zwei Ansätze, die Angreifer ausnutzen können:
- Schadsoftware im Dokument unterbringen, um eine Schwachstelle im Reader/Viewer oder anderer Software auszunutzen
- Durch das Laden von Bildern festzustellen, wann und von welcher IP-Adresse diese geladen werden
Beliebte Software zum betrachten und editieren von PDFs, wie z.B. der Foxit oder Adobe Reader, erhalten deshalb in regelmäßigen Abständen Updates. Allerdings ist nicht nur das Übermitteln von Schadsoftware in Problem. Auch das Tracking durch PDF Dokumente ist so möglich. Zielgruppen wie z.B. Journalisten befinden sich so in einer Zwickmühle. Durch das Platzieren von Inhalten, die von Servern Dritter geladen werden, kann die Öffnung des Dokumentes nachverfolgt werden. Einige Berufsgruppen befinden sich so in einer Zwickmühle.
Wie lassen sich Tracking und Risiken bei PDF Dokumenten reduzieren?
Ein aktueller Virenschutz kann grundsätzlich dazu beitragen schädliche PDF Dokumente zu detektieren und die Ausführung der Schadsoftware zu verhindern. Mit Dangerzone gibt es jedoch eine Software, die einen Schritt weiter geht und PDF Dokumente so bearbeitet, dass eine weitere Gefährdung ausgeschlossen werden kann. Die Vorgehensweise des freien verfügbaren Tools ist folgende:
- Dokumente werden in ein PDF Format überführt (wenn nicht bereits im PDF Format vorhanden)
- Anschließend wird die PDF in eine Pixeldatei überführt. Schadsoftware wird in diesem Schritt entfernt, da nur Bild bzw. Daten über die Pixel festgehalten werden
- Aus dem Pixel Datensatz wird nun wieder eine PDF Datei erstellt. Diese kann nun bedenkenlos geöffnet werden
Das Eingangsformat muss dabei längst nicht PDF sein. Dangerzone kann grundsätzlich mit mehreren Dateitypen umgehen:
- PDF ( .pdf)
- Microsoft Word ( .docx, .doc)
- Microsoft Excel ( .xlsx, .xls)
- Microsoft Powerpint ( .pptx, .ppt)
- ODF Text ( .odt)
- ODF Spreadsheet ( .ods)
- ODF Presentation ( .odp)
- ODF Graphics ( .odg)
- Jpeg ( .jpg, .jpeg)
- GIF ( .gif)
- PNG ( .png)
- TIFF (.tif, .tiff)
Das Endresultat ist stets eine PDF Datei. Auch wenn die Software zur Reduzierung von Risiken sich in den ersten Schuhen befindet, so bietet diese doch entscheidende Vorteile bei der Verarbeitung. So ist OCR integriert und sorgt beim Endresultat für eine Textebene, mit der gearbeitet werden kann.
Die Überführung der Dateien in einer Sandbox sorgt dafür, dass potenziell gefährliche Software nicht nach Hause telefonieren kann. Die Resultate werden komprimiert ausgeliefert. Die Option die Dokumente anschließend im PDF Viewer seiner Wahl zu öffnen, bietet die Möglichkeit Dangerzone als „Standardsoftware zum Öffnen von PDF Dokumenten“ auszuwählen. So kann keine PDF Datei, die potenziell gefährlich ist, geöffnet werden. Die Open Source Software hat sich dabei von QubesOS inspirieren lassen.
[su_note note_color=”#8dfa87″ text_color=”#000000″ radius=”1″]Als das sicherste Betriebssystem der Welt wird QubesOS bezeichnet. Das von Edward Snowden empfohlene Betriebssystem setzt viele Schutzschichten mit der Hilfe von Isolierung um. Das Linux Derivat wird aus diesem Grund für Zielgruppen wie z.B. Journalisten empfohlen. Die Software Dangerzone hat sich von dem Betriebssystem inspirieren lassen.[/su_note]
Für wen ist die Software interessant?
Im amerikanischen Wahlkampf sind Fälle bekannt geworden, in denen mit der Hilfe von Spearphishing Attacken manipulierte Word Dokumente versendet worden sind um eine Backdoor am Zielrechner freizumachen. Gerade für Zielgruppen wie Journalisten ist Dangerzone eine interessante Software.
PS. Die detaillierte Vorgehensweise der Software ist folgende:
Der erste Container startet und
- Mountet ein Volume mit dem Ursprungsdokument
- Anschließend wird LibreOffice oder GraphicsMaguck benutzt um auf dem Ursprungsdokument eine PDF Datei zu erstellen
- poppler wird dann verwendet um die Datei aufzusplitten und in das PNG Format zu überführen
- GraphicsMagick wird dann benutzt um die PNG Seiten in RGB Pixeldaten zu transferieren
- RGB Pixeldaten werden in einem separaten Volume gesichert
Nach dem Prozess wird der Container heruntergefahren und ein zweiter gestartet:
- Ein Volume wird im neuen Container mit dem RGB Pixeldatensatz geladen
- Falls OCR aktiviert ist, wird GraphicsMagick verwendet um den RGB Pixeldatensatz in PNGs zurückzuführen. Tesseract wandelt die erstellten PNGs dann in durchsuchbare PDFs um
- Ist kein OCR aktiviert, führt GraphicsMagick den RGB Pixeldatensatz in eine flat PDF zurück
- poppler führt dann die Seiten zu einem mehrseitigen PDF Dokument um
- Ghostscript wird benutzt um die finale PDF Datei zu komprimieren
- Die sichere PDF Datei wird in einem separaten Volume gesichert
Der Container wird dann beendet. Die PDF Datei kann nun sicher geöffnet werden.
PPS. Uns ist bekannt, dass das Akronym für Protable Document Format steht und deshalb Bezeichnungen wie „Das PDF Format“ wenig Sinn machen. Doch wir vertreten die Meinung, dass die Bezeichnung dem Lesefluss zuträglich ist und haben uns deshalb bewusst für die Schreibweise entschieden.
