La última treta de los ciberdelincuentes: archivos PDF que no son lo que parecen…

Se trata de documentos en apariencia inofensivos que pueden desencadenar un auténtico caos en nuestro ordenador

J. Castillo

Usar el móvil y navegar a diario por internet nos está convirtiéndo en expertos en ciberseguridad: hemos aprendido a detectar algunas de las tretas más ... extendidas, como la llamada del falso hijo en apuros; los enlaces fraudulentos a nombre de empresas de paquetería o los correos electrónicos que amenazan con publicar nuestras fotos íntimas si no apoquinamos criptomonedas. El problema es que los malhechores digitales no descansan e idean periódicamente nuevas estrategias con las que estafarnos. La última consiste en utilizar un formato aparentemente inofensivo como los documentos en formato PDF.

Para Jordi Serra, experto en ciberseguridad y Profesor de los Estudios de Informática, Multimedia y Telecomunicación de la Universitat Oberta de Catalunya (UOC), hablamos de un ataque especialmente sofisticado: «A diferencia de los ataques previamente conocidos, que dependían de que las personas pulsaran sobre enlaces externos, éste ataca la lógica del funcionamiento interno del PDF. El atacante modifica la estructura del archivo para corromper la memoria del programa lector de PDF y así ejecutar código arbitrario. El usuario no ha de interactuar con nada; tan solo abrir un documento».

Las buenas noticias

Los hallazgos de Haifei Li han permitido a Adobe lanzar una actualización que pone fin al problema, por lo que recomienda su instalación a todos los usuarios de Acrobat Reader, sin importar la versión del programa que utilicen. Además, el ataque parecía dirigido a perfiles específicos, ya que antes de producirse escudriñaba el sistema de la víctima para determinar si debía infectarlo.

«La integración de una fase de reconocimiento previo antes del ataque se utiliza mucho para no exponer la vulnerabilidad a todos –prosigue Serra–. Esto es típico del ciberespionaje entre Estados o grupos de ciberdelincuentes muy especializados, quienes persiguen a organizaciones o personas concretas».

Las víctimas de estos ataques resultan así especialmente sensibles: altos cargos de Gobierno, directores de grandes empresas estratégicas o responsables de infraestructuras críticas, lo que para el profesor de la UOC «demuestra que los atacantes disponen de numerosos recursos y conocimientos».

Cuándo sospechar

Con todo, que el problema se haya resuelto (o a priori no tenga la importancia que buscan los atacantes) no quita para que debamos ser cautelosos antes de abrir cualquier archivo PDF inesperado. Alguien podría tomar nota de la estrategia y utilizarla de forma masiva, especialmente porque los antivirus tradicionales son incapaces de identificar este tipo de PDF, explica Serra: «Los antivirus normalmente funcionan mediante firmas (comparación de archivos con bases de datos de amenazas ya conocidas). Dado que ataques como éste utilizan vulnerabilidades desconocidas, no existe una 'firma' previa que permita detectarlos. Además, el propio archivo PDF parece legítimo ante el antivirus porque no contiene ningún código malicioso: solo datos que, al ser interpretados por un programa específico, se comportan como maliciosos».

¿Qué señales deben hacernos sospechar entonces? Expertos como el de la UOC piden no abrir documentos que hayamos recibido por cauces no habituales o cuyo remitente nos resulte desconocido: «Además, debemos considerar anormales aquellos ficheros que tarden más de lo normal en abrirse, provoquen un cierre inesperado del programa o hagan que éste nos solicite activar funciones avanzadas que no son necesarias para una lectura estándar».

Cómo detectar imágenes falsificadas

El empleo de imágenes falsificadas se ha convertido en otra línea habitual de actuación por parte de los ciberdelincuentes, quienes las utilizan en infinidad de extorsiones. Por suerte, contamos con páginas web diseñadas para identificarlas y ahorrarnos el susto (al tiempo que detectamos algún que otro bulo). Una de las más populares es 'FotoForensics', donde basta con introducir la dirección web de la imagen o subir su archivo para obtener un análisis completo: fecha y ubicación de creación o modificación, elementos ocultos, grado de comprensión, extrañezas a nivel de iluminación… Es importante señalar que la página nunca nos dirá abiertamente si la imagen es 'de pega' o no, pero sí que incluye los tutoriales necesarios para aprender a interpretar los datos que nos ofrece y así llegar a una conclusión.

• Más temas
• Ciberseguridad