Rapport : Adobe Reader empêche les outils antivirus d’analyser les documents PDF chargés

0 2

Adobe Reader empêche les outils antivirus d’analyser les documents PDF chargés

Adobe empêche activement plusieurs outils antivirus de numériser des documents PDF chargés par son application Adobe Acrobat Reader, selon un rapport de sécurité publié par Minerva Labs.

Adobe Reader

La société a trouvé des preuves qu’Adobe empêche environ 30 produits de sécurité différents de numériser des documents PDF chargés. La liste se lit comme le who is who des sociétés de sécurité, à une exception notable près. Les produits de Trend Micro, McAfee, Symantec, ESET, Kaspersky, Malwarebytes, Avast, BitDefender et Sophos sont bloqués, selon le rapport. La seule exception notable, du moins du point de vue de la part de marché, est Microsoft Defender, qui n’est pas bloqué par le logiciel d’Adobe.

Voici la liste complète des entreprises et des produits concernés :

Trend Micro, BitDefender, AVAST, F-Secure, McAfee, 360 Security, Citrix, Symantec, Morphisec, Malwarebytes, Checkpoint, Ahnlab, Cylance, Sophos, CyberArk, Citrix, BullGuard, Panda Security, Fortinet, Emsisoft, ESET, K7 TotalSecurity, Kaspersky, AVG, CMC Internet Security, Samsung Smart Security ESCORT, Moon Secure, NOD32, PC Matic, SentryBay

Les produits bloqués se voient refuser l’accès au fichier PDF chargé, ce qui signifie que le code malveillant ne peut pas être détecté ou arrêté par les produits pendant la phase de chargement.

Les outils de sécurité injectent des DLL, Dynamic Link Libraries, dans les applications qui sont lancées sur le système, ce qui est nécessaire pour y accéder. Le blocage empêche l’injection d’avoir lieu.

Selon le rapport, Adobe Acrobat utilise la bibliothèque de liens dynamiques Chromium Embedded Framework (CEF), Libcef.dll, en deux processus. Le composant Chromium comprend sa propre liste noire pour éviter les problèmes et les conflits avec les fichiers DLL. Les éditeurs de logiciels, qui utilisent libcef.dll, peuvent personnaliser la liste noire, et il semble qu’Adobe l’ait fait pour y ajouter les fichiers DLL des produits de sécurité.

Minerva Labs note que le résultat du blocage « pourrait potentiellement être catastrophique ». Outre la visibilité réduite, qui « entrave les capacités de détection et de prévention à l’intérieur du processus et à l’intérieur de chaque processus enfant créé », cela limite les moyens de l’application de sécurité pour surveiller l’activité et déterminer le contexte.

Il serait assez facile pour un acteur malveillant d’ajouter une commande dans la section « OpenAction » d’un pdf, qui peut ensuite exécuter PowerShell, qui pourrait par exemple télécharger le logiciel malveillant de la prochaine étape et l’exécuter de manière réfléchie. Aucune de ces actions ne serait détectée si les crochets du produit de sécurité sont manquants.

Minerva Labs a contacté Adobe pour savoir pourquoi les produits de sécurité sont bloqués par Adobe Acrobat. Adobe a répondu que « cela est dû à » une incompatibilité avec l’utilisation par Adobe Acrobat de CEF, un moteur basé sur Chromium avec une conception de bac à sable restreinte, et peut entraîner des problèmes de stabilité «  ».

En d’autres termes : Adobe a choisi de résoudre les problèmes de stabilité en bloquant les processus de sécurité. Minerva Labs souligne qu’Adobe a choisi la commodité et l’insertion d’un comportement « semblable à un logiciel malveillant » plutôt que de résoudre le problème de manière permanente.

Ordinateur qui bipe reçu une réponse similaire lorsque le site a contacté Adobe. Adobe a confirmé qu’il travaillait avec les fournisseurs des produits de sécurité pour résoudre les incompatibilités et « assurer une fonctionnalité appropriée avec la conception du bac à sable CEF d’Acrobat à l’avenir ».

Laisser un commentaire

Votre adresse email ne sera pas publiée.

Abonnez-vous à notre newsletter
Inscrivez-vous ici pour recevoir les dernières nouvelles, mises à jour et offres spéciales directement dans votre boîte de réception.
Vous pouvez vous désabonner à tout moment

This website uses cookies to improve your experience. We'll assume you're ok with this, but you can opt-out if you wish. Accept Read More