MatrixPDFフィッシングツールキット｜ブログ(ほぼこもセキュリティニュース)

MatrixPDFは、フィッシングツールキットです。
耳慣れない言葉ですが、文字の通りの内容です。
MatrixPDFを使うことで、フィッシングに使うことのできる加工されたPDFドキュメントを作成できるので、簡単にフィッシングを開始できますよ、というものです。
生成AIの登場でいろいろなことが簡単に試せるようになってきていますが、フィッシングも特別な知識を持っていないとしても簡単に取り組めるようになってしまっています。
どんなものなのでしょうか。

クリック可能なオーバーレイ設置機能
PDFは文書配布フォーマットです。
文字や図を効果的に配置し、環境による差異が少なくなるようにきれいに見せることができます。
また、インタラクティブな内容を含めることができますので、つくりによっては、ドキュメントの特定の部分をクリックできるようにすることもできます。
PDFドキュメントのなかにドキュメントの目次を配置し、その目次の中の要素をクリックすると目的のページに飛んでいけるようにする、のようにして使われます。
このような機能を悪意ある状態に容易に加工することができる機能がMatrixPDFに実装されています。
ユーザがドキュメントを開いたときやボタンをクリックしたときに実行されるJavaScriptアクションを埋め込むことができるのです。
このJavaScriptは、ウェブサイトを開いたり、その他の悪意のあるアクションを実行したりすることができます。
ぼかしコンテンツ機能
脅威アクターは保護されたぼかしコンテンツが含まれているように見せかけ、「保護された文書を開く」ボタンを含むPDFファイルを作成できます。
この文書のこのボタンをクリックすると、フィッシングページをホストしたりマルウェアを配布したりするために利用できるウェブサイトが開かれます。
Gmailの保護機能の回避
Gmailには悪意あるPDFからユーザを保護することのできる機能が搭載されています。
GmailのPDFビューアはPDFのJavaScriptを実行しないという方向で保護を提供するのですが、クリック可能なリンクや注釈を許可してしまいます。
このため、脅威アクターがJavaScriptを使わずに単に外部サイトへ飛ばすためのURLを仕込むことのみを実施した場合、Gmailの保護機能ではこのドキュメントの脅威を止めることはできません。
Gmailでそういった加工のされたPDFドキュメントを受け取ってGmailの組み込みのPDFビューアを使ってPDFを閲覧してそのドキュメントのなかのリンクが仕込まれた部分をクリックしてしまうと攻撃者の用意した外部サイトへ飛んでしまうのです。