Zero-day Adobe Reader: pdf malevoli profilano i target

Indice

• Introduzione per tutti
• Come funziona l’attacco
• Segnali e obiettivi
• Durata e rischi attuali
• Consigli pratici
• Approfondimento tecnico

Introduzione per tutti

Attenzione: una vulnerabilità zero-day in Adobe Reader permette a PDF malevoli di analizzare il tuo sistema non appena li apri. Questa minaccia, attiva da mesi, non richiede clic extra: basta visualizzare il file per attivare JavaScript oscurato che raccoglie informazioni come dettagli del sistema operativo, impostazioni linguistiche e percorsi file. Soluzione rapida: disabilita JavaScript nei PDF, usa alternative sicure come browser moderni per aprirli e scarica sempre Reader aggiornato. In questo modo eviti il rischio immediato mentre gli esperti lavorano su una patch.

Questi attacchi non colpiscono tutti allo stesso modo. I malintenzionati usano i PDF per fare una ricognizione iniziale: se il tuo computer sembra interessante, scaricano un secondo payload potenzialmente in grado di eseguire codice remoto o evadere la sandbox. È un approccio mirato, non a tappeto, che rende la minaccia subdola e pericolosa soprattutto per utenti in settori specifici.

Come funziona l’attacco

I file PDF infetti sfruttano funzionalità legittime di Adobe Acrobat Reader per eseguire codice JavaScript all’apertura. Questo script, pesantemente offuscato, non provoca danni immediati ma avvia una fase di raccolta dati. Utilizza API integrate del software per estrarre:

• Informazioni sul sistema operativo.
• Impostazioni della lingua.
• Percorsi di file locali.

Questi dati vengono inviati a server controllati dagli attaccanti. È come un esploratore digitale che valuta se vale la pena investire risorse per un attacco completo. Se il target è “utile” – ad esempio un sistema professionale o in un settore sensibile – segue il secondo stadio, che potrebbe portare a escalation di privilegi o esecuzione di codice arbitrario.

Questo meccanismo è astuto perché evita exploit rumorosi. Invece di un boom immediato, preferisce la stealth: profilazione silenziosa per massimizzare l’efficacia contro obiettivi high-value.

Segnali e obiettivi

Ci sono indizi su chi siano i bersagli. Documenti esca legati all’exploit contengono contenuti in lingua russa che fanno riferimento a eventi attuali nel settore oil & gas del paese. Questo suggerisce un focus settoriale, forse legato a interessi strategici, piuttosto che un attacco generico. Non è una prova definitiva di attribuzione, ma indica che gli attaccanti non sparano alla cieca: selezionano con cura.

Non tutti i sistemi profilati ricevono il payload avanzato. Alcuni vengono solo “scansionati”, mentre altri subiscono un’escalation. Questo approccio economico permette di scalare l’operazione senza sprecare risorse su macchine non interessanti, come quelle domestiche base.

Durata e rischi attuali

La campagna sembra attiva da almeno quattro mesi. Un campione correlato è stato caricato su piattaforme di analisi il 28 novembre 2025, il che sposta l’inizio a fine anno. È emersa pubblicamente solo a marzo 2026, evidenziando quanto sia sfuggita ai radar per lungo tempo.

Ancora non esiste un CVE ufficiale né una patch da Adobe. Il vendor non ha rilasciato dichiarazioni pubbliche, lasciando gli utenti esposti. Se hai l’abitudine di aprire PDF da fonti sconosciute – email, download casuali – il rischio è alto. Settori come energia, finanza o governo potrebbero essere nel mirino, ma nessuno è al sicuro.

Consigli pratici

Per proteggerti subito:

• Disabilita JavaScript in Adobe Reader: Vai su Edit > Preferences > JavaScript > uncheck “Enable Acrobat JavaScript”.
• Apri PDF in browser: Usa Chrome o Firefox, che isolano meglio i rischi.
• Aggiorna sempre il software: Controlla manualmente per update, anche se non ce ne sono specifici.
• Usa antivirus con sandbox: Strumenti come sandboxie o Windows Defender aiutano.
• Verifica mittenti: Non aprire allegati sospetti.

Queste misure riducono drasticamente il rischio senza complicazioni.

Approfondimento tecnico

Meccanismi di offuscamento e API sfruttate

L’exploit si basa su JavaScript offuscato eseguito all’open del PDF tramite handler automatici. Utilizza API come app.launchURL(), this.getPageNthWord() per fingerprinting avanzato. Il codice estrae:

Lo script codifica i dati in base64 e li invia via POST a C2 server. Se le condizioni matchano (es. OS Windows 10+, lingua RU/EN, presenza di tool specifici), triggera download del secondo stadio via app.launchURL() con parametri dinamici.

Potenziale del secondo payload

Il stage 2 potrebbe includere RCE (remote code execution) o SBX escape (sandbox escape). Tecniche probabili:

• Heap spraying per bypass ASLR.
• UAF (use-after-free) in Reader’s rendering engine.
• Dropper per malware persistente.

Esempi storici simili: CVE-2018-4990 o CVE-2020-9611, ma qui zero-click.

Indicatori di compromissione (IoC)

• PDF con script offuscato: cerca stringhe come eval(decodeURIComponent(...)).
• Traffico a domini sospetti (analisi network).
• File droppati in %TEMP% post-apertura.

Mitigazioni avanzate:

• Group Policy per disable JS in enterprise.
• Monitoraggio EDR per API calls anomale in Reader.
• YARA rules per detection: rule Adobe_ZeroDay { strings: $js = /app\.platform.*send/ condition: $js }.

Per ricercatori: analizza sample su VirusTotal con tag ‘zero-day’. La longevità (4+ mesi) indica APT-level sophistication. Monitora forum underground per leak.

Questo exploit ridefinisce le minacce PDF: da vector generico a tool di intelligence mirata. Resta vigile, aggiorna protocolli.

Fonte: https://go.theregister.com/feed/www.theregister.com/2026/04/09/monthsold_adobe_reader_zeroday_uses/