Shadow Attack: Signierte PDFs können manipuliert werden

Digital signierte PDF-Dateien sind praktisch. Im Vertragswesen sparen sie gegenüber der Papierform Zeit und Geld, da sie einfach per Mail hin und her geschickt werden können. Die digitale Signatur dient dabei als Authentifizierung des Signierenden. Der Empfänger kann also sicher sein, dass das Dokument authentisch ist. Oder besser gesagt: konnte sich sicher sein, denn Sicherheitsforscher der Ruhr-Universität in Bochum haben eine Sicherheitslücke gefunden, durch die digital signierte Dokumente verändert und manipuliert werden können. Unter dem Namen „Shadow Attack“ wurde der Angriffsvektor nun öffentlich gemacht.

Bei besagtem Angriff bereitet der Kriminelle ein PDF-Dokument mit verschiedenen Elementebenen vor und versendet es an sein Opfer. Dabei kann es sich beispielsweise um eine Rechnung mit Zahlungsinformationen oder um einen Vertrag handeln. Das Opfer sieht nur die oberste Ebene, in der alles korrekt und legitim erscheint, signiert das Dokument digital und sendet es zurück. Der Angreifer kann dann die bisher sichtbaren Informationen in den Hintergrund verschieben und stattdessen andere Elemente sichtbar machen. Auf diese Art lassen sich Informationen wie die Empfänger von Überweisungen, genannte Geldbeträge oder andere Textstellen verändern. Da die neuen, erst jetzt sichtbaren Elemente bereits im signierten Dokument enthalten, jedoch im Hintergrund verborgen waren, wird die kryptographische Unterschrift nicht verletzt.

Die Sicherheitsforscher haben drei Möglichkeiten beschrieben, wie die Angreifer vorgehen können:

1. Hide: Angreifer können Elemente im Dokument einfach ausblenden und so gezielt Informationen verschwinden lassen.

2. Replace: Elemente können ersetzt und die ursprünglichen Daten im Dokument verändert werden.

3. Hide & Replace: Mit einer Kombination beider Möglichkeiten entsteht ein völlig neues PDF-Dokument, welches sogar eine andere Seitenzahl haben kann, jedoch immer noch die Signatur des Opfers trägt. Die PDF-Viewer stufen die Änderungen als harmlos ein und akzeptieren die Signatur daher weiterhin.

Möglich ist das laut der Veröffentlichung aus Bochum, weil selbst signierte PDF-Dateien in den betroffenen Readern nicht angezeigte oder verwendete Elemente enthalten können. PDF-Viewer-Apps, die beim Signieren eines Dokuments nicht verwendete PDF-Objekte entfernen, sind gegen Schattenangriffe hingegen immun. Insgesamt wurden 28 Anwendungen untersucht und bei 15 konnten die Forscher die Sicherheitslücke ausnutzen, darunter Adobe Acrobat Pro, Adobe Acrobat Reader und Perfect PDF.

Die gute Nachricht: Für die meisten Reader sind mittlerweile Patches verfügbar, da die Sicherheitsforscher in Zusammenarbeit mit dem Computer Emergency Response Team (CERT) des Bundesamts für Sicherheit in der Informationstechnik (BSI) die Hersteller der Reader bereits im März informierten und ihnen somit genug Zeit gaben, um die Sicherheitslücke zu schließen. Unternehmen und Privatpersonen, die mit signierten PDFs arbeiten, sollten die Sicherheitsupdates also schnellstmöglich einspielen, um Schattenangriffen einen Riegel vorzuschieben.

Über die 8com GmbH & Co. KG

Das 8com Cyber Defense Center schützt die digitalen Infrastrukturen von 8coms Kunden effektiv vor Cyberangriffen. Es beinhaltet ein Security Information and Event Management (SIEM), Vulnerability Management sowie professionelle Penetrationstests. Zudem bietet es den Aufbau und die Integration eines Information Security Management Systems (ISMS) inklusive Zertifizierung nach gängigen Standards. Awareness-Maßnahmen, Security Trainings und ein Incident Response Management runden das Angebot ab.

8com gehört zu den führenden Anbietern von Awareness-Leistungen und Informationssicherheit in Europa. Seit 15 Jahren ist das Ziel von 8com, Kunden die bestmögliche Leistung zu bieten und gemeinsam ein ökonomisch sinnvolles, aber trotzdem möglichst hohes Informationssicherheitsniveau zu erzielen. Durch die einzigartige Kombination aus technischem Know-how und direkten Einblicken in die Arbeitsweisen von Cyberkriminellen können die Cyber-Security-Experten bei ihrer Arbeit auf fundierte Erfahrungswerte zurückgreifen.

Firmenkontakt und Herausgeber der Meldung:

8com GmbH & Co. KG
Europastraße 32
67433 Neustadt an der Weinstraße
Telefon: +49 (6321) 48446-0
Telefax: +49 (6321) 48446-29
http://www.8com.de

Ansprechpartner:
Kent Gaertner
Pressereferent
Telefon: +49 (30) 3030808913
Fax: +49 (30) 30308089-20
E-Mail: gaertner@quadriga-communication.de
Eva-Maria Nachtigall
Leiterin Kommunikation & Medien
Telefon: +49 (6321) 48446-0
E-Mail: redaktion@8com.de
Für die oben stehende Pressemitteilung ist allein der jeweils angegebene Herausgeber (siehe Firmenkontakt oben) verantwortlich. Dieser ist in der Regel auch Urheber des Pressetextes, sowie der angehängten Bild-, Ton-, Video-, Medien- und Informationsmaterialien. Die United News Network GmbH übernimmt keine Haftung für die Korrektheit oder Vollständigkeit der dargestellten Meldung. Auch bei Übertragungsfehlern oder anderen Störungen haftet sie nur im Fall von Vorsatz oder grober Fahrlässigkeit. Die Nutzung von hier archivierten Informationen zur Eigeninformation und redaktionellen Weiterverarbeitung ist in der Regel kostenfrei. Bitte klären Sie vor einer Weiterverwendung urheberrechtliche Fragen mit dem angegebenen Herausgeber. Eine systematische Speicherung dieser Daten sowie die Verwendung auch von Teilen dieses Datenbankwerks sind nur mit schriftlicher Genehmigung durch die United News Network GmbH gestattet.

counterpixel