Adobe Acrobat阻止30款安全軟件查看PDF文件或存在安全風險
安全研究人員發現，Adobe Acrobat 正嘗試阻止安全軟件查看其打開的PDF 文件，這可能會給用戶帶來安全風險。Adobe 旗下產品正對市面上主流的30 款安全產品進行檢查，一旦在進程中檢測到這些安全產品的組件就會嘗試阻止，這也意味著Adobe 阻止安全產品監視惡意活動。
PDF 文件過去曾被濫用於在系統上執行惡意軟件。網絡安全公司Minerva Labs 的研究人員解釋說，一種方法是在文檔的“OpenAction”部分添加一個命令來運行PowerShell 命令以進行惡意活動。
Minerva Labs 表示：“自2022 年3 月以來，我們看到Adobe Acrobat Reader 進程逐漸增加，試圖通過獲取DLL 的句柄來查詢加載了哪些安全產品DLL”。
根據本週的一份報告，該列表已經增長到包括來自不同供應商的安全產品的30 個DLL。較受消費者歡迎的有Bitdefender、Avast、趨勢科技、賽門鐵克、Malwarebytes、ESET、卡巴斯基、F-Secure、Sophos、E MSI soft。
列表如下：
- 趨勢科技
- 比特衛士
- AVAST
- F-安全
- 邁克菲
- 360安全
- 思傑
- 賽門鐵克
- 變形技術
- 惡意軟件字節
- 檢查點
- 安拉布
- 週期
- 索福斯
- 賽博方舟
- 思傑
- BullGuard
- 熊貓安全
- 財富網
- Emsisoft
- 案子
- K7 全面安全
- 卡巴斯基
- 平均
- CMC 網絡安全
- 三星智能安防 ESCORT
- 月球安全
- NOD32
- 電腦馬蒂奇
- 哨兵灣
查詢系統是通過“libcef.dll”完成的，這是一個被各種程序使用的Chromium Embedded Framework (CEF) 動態鏈接庫。雖然Chromium DLL 附帶一個簡短的組件列表，因為它們會導致衝突而被列入黑名單，但使用它的供應商可以進行修改並添加他們想要的任何DLL。
研究人員解釋說，“libcef.dll 由兩個Adobe 進程加載：AcroCEF.exe 和RdrCEF.exe”，因此這兩種產品都在檢查系統中是否存在相同安全產品的組件。
仔細觀察注入Adobe 進程的DLL 會發生什麼，Minerva Labs 發現Adobe 檢查註冊表項“SOFTWAREAdobeAdobe AcrobatDCDLLInjection”下的bBlockDllInjection 值是否設置為1。如果是，它將防止防病毒軟件的DLL 被注入進程。
根據Minerva Labs 研究員Natalie Zargarov 的說法，註冊表項的默認值設置為“1”——表示主動阻止。此設置可能取決於操作系統或安裝的Adobe Acrobat 版本，以及系統上的其他變量。
Adobe 在回复BleepingComputer 時確認，用戶報告了由於某些安全產品的DLL 組件與Adobe Acrobat 對CEF 庫的使用不兼容而導致的問題。
Adobe 表示：“我們知道有報告稱安全工具中的某些DLL 與Adobe Acrobat 對CEF 的使用不兼容，CEF 是一種基於Chromium 的引擎，具有受限的沙盒設計，並可能導致穩定性問題”。
該公司補充說，它目前正在與這些供應商合作解決這個問題，並“確保未來Acrobat 的CEF 沙盒設計具有正確的功能。”Minerva Labs 研究人員認為，Adobe 選擇的解決方案可以解決兼容性問題，但通過阻止安全軟件保護系統而引入真正的攻擊風險。