Adobe Acrobat用户请注意：在微软禁用宏后 利用PDF投毒正在增加
内容提要
微软禁用了网络中的宏，黑客转向针对 Adobe Acrobat 的钓鱼攻击。黑客通过电子邮件分发恶意代码的 PDF 文档，利用 MSHTA 和 powershell.exe 执行恶意脚本。黑客还进行各种躲避操作，用户应保持软件更新，谨慎对待电子邮件内容。
延伸解读
攻击路径的转变
微软禁用来自网络的宏后，黑客转向利用PDF文档进行钓鱼攻击。文章指出，攻击者通过电子邮件分发恶意PDF，利用Adobe Acrobat的交互功能执行恶意代码。这种转变意味着用户需要更加警惕PDF附件，尤其是来自未知发件人的文件。
漏洞利用与用户交互的区别
攻击分为两种：针对包含漏洞的旧版Adobe Acrobat，恶意PDF可自动执行JavaScript，通过MSHTA和powershell.exe加载恶意负载；针对已修复漏洞的新版本，则通过弹出对话框诱导用户访问外部网站下载恶意脚本。这表明保持软件更新至关重要，但用户交互仍是攻击成功的关键环节。
恶意软件的持久化与躲避
攻击成功后，恶意软件会确保重启后仍能运行，并采取多种躲避措施，如规避Microsoft Defender、修改注册表、禁用防火墙等。这些操作使设备完全受控，黑客可随时窃取机密数据，甚至安装键盘记录器。这凸显了攻击的严重性，不仅是一次性感染，而是长期控制。
用户防护建议
迈克菲安全团队建议用户验证发件人信息、谨慎点击链接、检查拼写错误、使用垃圾邮件过滤器、保持软件更新等。这些措施虽基础，但能有效降低风险。尤其要注意，即使软件已更新，用户仍可能被诱导执行恶意脚本，因此对异常请求保持警惕至关重要。
Q&A
为什么黑客在微软禁用宏后转向针对 Adobe Acrobat 的 PDF 攻击？
因为微软已通过 Office 更新默认禁用来自网络的办公文档中的宏，使得传统的宏攻击路径失效。而 Adobe Acrobat 在国外非常流行且具有交互功能，如果使用 Chrome 等非 Acrobat 软件打开 PDF，黑客暗藏的交互式恶意代码基本无法运行，因此黑客转向针对 Adobe Acrobat 用户发起钓鱼攻击。
针对包含漏洞的 Adobe Acrobat，黑客是如何利用 PDF 进行攻击的？
攻击者制作包含恶意代码的 PDF 文档，通过电子邮件等渠道分发。在过时且未安装补丁的 Adobe Acrobat 上，PDF 会直接使用 MSHTA 执行嵌入的 JavaScript 脚本，然后调用 powershell.exe 执行恶意脚本，加载一系列恶意负载并实现持久化，整个过程自动化，用户只需用 Adobe Acrobat 打开该 PDF 即可。
对于没有漏洞的新版 Adobe Acrobat，黑客如何诱骗用户执行恶意脚本？
在新版本 Acrobat 上 Adobe 已禁用执行 JavaScript 脚本，黑客会通过 PDF 弹出一个对话框要求重定向到外部网站。该网站会下载 JavaScript 脚本并命名为具有诱导性的内容，引导用户打开该脚本，执行后同样会下载一系列恶意负载。
黑客在成功入侵后采取了哪些躲避查杀和维持控制的操作？
黑客会采取多种躲避操作，例如规避 Microsoft Defender 的查杀、修改 UAC 账户控制相关的注册表项、禁用 Windows 防火墙等，还包括利用一些方式进行权限提升。完成这些操作后，被感染的设备就成为肉鸡，黑客可随时获取机密数据，比如安插键盘记录器。
迈克菲安全团队针对此类 PDF 钓鱼攻击给出了哪些用户建议？
建议包括：验证电子邮件发件人信息；点击链接和看到警告时三思而行；检查拼写和语法错误；谨慎对待电子邮件中的内容；验证异常请求；使用电子邮件垃圾过滤器；检查 HTTPS 连接；删除可疑电子邮件；保持 Windows 和安全软件为最新版；使用最新且已经修复的 Adobe Acrobat Reader。
为什么使用 Chrome 等非 Acrobat 软件打开 PDF 相对更安全？
因为 Adobe Acrobat 具有交互功能，而 Chrome 等软件的 PDF 引擎通常不支持运行 PDF 中嵌入的交互式恶意代码，除非该引擎本身存在漏洞。因此黑客暗藏的交互式恶意代码在 Chrome 中基本无法运行，攻击主要针对 Adobe Acrobat 用户。
