Un modo de infección del malware son los lectores de ficheros PDF. Debido a la gran difusión del formato y a que son multiplataforma, son un objetivo prioritario y configurar estas aplicaciones de forma segura es importante

El formato PDF (Formato de documento portable), es un formato de documento compuesto (imagen vectorial, mapa de bits y texto), pensado para su visualización e impresión en cualquier plataforma, dispositivo o impresora.

En un fichero PDF, es posible incluir algún tipo de código malicioso debido a que la aplicación permite aumentar las funcionalidades habituales de gestión de los datos (texto e imágenes) que ha de presentar por pantalla utilizando código JavaScript, por ejemplo,  y otra información que el lector PDF debe interpretar y/o procesar. Mediante la manipulación de esta información y aprovechando alguna vulnerabilidad que tenga la versión del programa empleada, podría ser posible ejecutar código malicioso incluido en un fichero PDF, cuando en principio no debería ser un fichero «peligroso».

También, hay que señalar que una gran parte de este problema viene provocado por el aumento de capacidades del formato PDF. Si contiene un fichero en formato SWF, será posible «sufrir» los problemas de seguridad asociados a este tipo de formato, igual que ocurre con otro software como son los reproductores multimedia.

Hoy día, hay múltiples programas para visualizar este tipo de ficheros, pero los más populares son Adobe Reader y Foxit PDF Reader. Estas aplicaciones tienen ciertas características que permiten aumentar la seguridad de la lectura de los documentos PDF desactivando o modificando algunas  opciones de configuración.

A causa de la funcionalidad extendida, los lectores de ficheros PDF deben avisar al usuario y pedir confirmación cuando se inicia una acción que podría ser potencialmente peligrosa, como ejecutar comandos JavaScript o acceder a una dirección de Internet (cargar una página Web por ejemplo). Por ello, este tipo programas, para garantizar un mínimo de seguridad, deben incorporar al menos estas dos funcionalidades: la de bloqueo de JavaScript y solo acceder a sitios web cuando el usuario lo autorice de forma expresa.

Este tipo de medidas de protección implican una merma en la funcionalidad en este tipo de ficheros, como por ejemplo el uso de formularios o comprobación de los campos. En caso de necesitar utilizar esa funcionalidad, se puede activar de forma momentánea, y siempre conociendo el origen del documento en el que la vamos a utilizar.

Cada programa, además de este par de características básicas, incorpora una serie de mejoras en cuanto a seguridad. Aquí se van a exponer las opciones de los dos programas más usados para visualizar este tipo de documentos.

Adobe Reader.

La empresa Adobe, consciente del problema de seguridad, ha ido incorporando una serie de mejoras en relación a la seguridad de su lector. Las últimas a destacar serían la incorporación de la actualización automática del software, así como la ejecución en modo protegido (sandbox), para que la ejecución de código se produzca en un entorno totalmente controlado y que las operaciones del fichero no afecten al sistema anfitrión, lo que limita el alcance de una posible amenaza respecto a ese entorno de ejecución.

Para acceder a la ventana de configuración de las opciones de seguridad, desde la opción «Edición» del menú principal se selecciona la opción «Preferencias».

Pantalla preferencias de Adobe Reader

Secuencia para abrir el menú preferencias de adobe Reader

La primera opción de seguridad que se revisará es «Actualizador», que permite indicar como se harán las actualizaciones, y debería configurarse para hacerse automáticamente o, al menos, que la descargue y que  notifique al usuario cuando esté disponible para su instalación.

Pantalla de configuración de la frecuencias de actualizaciones de Adobe Reader

Configuración de la comprobación de actualizaciones de Adobe Reader

En la opción «Administrador de confianza» se configura la posibilidad de abrir, con otras aplicaciones, ficheros adjuntos no PDF. En principio, esta opción debería estar desactivada para evitar ese riesgo. En caso de necesitar utilizar esta función, se modificaría la opción y se volvería a desactivar una vez realizada la operación requerida. También, aparece la configuración del acceso a Internet sin usar el navegador que debe estar bloqueada o bien que pregunte al usuario si permite esa acción.

Por último, existe la posibilidad de descargar una serie de certificados raíz, «aprobados por Adobe», para gestionar certificados de forma mas sencilla (esos certificados ya no habrá que descargarlos).

Pantalla de configuración el administrador de confianza relacionado con la apertura de adjuntos al PDF y el intercambio de información con Internet

Configuración la apertura de adjuntos al PDF y el intercambio de información con Internet

La opción «confianza en contenido multimedia (heredado)» permite configurar la reproducción de contenidos multimedia en ficheros PDF. Esta opción no debería estar marcada o, en caso de estarlo, que «solicite» permiso para ejecutarse.

Pantalla de configuración de las acciones sobre algunos contenidos multimedia.

Configuración de las acciones sobre algunos contenidos multimedia

En la opción «JavaScript», el mayor nivel de protección se consigue en el caso de que no estuviera activado (se evita totalmente ese riesgo), activándose solamente cuando sea necesario rellenar un formulario. En caso de estar activo, como en la imagen, al menos hay que seleccionar la opción «Activar normativa de seguridad global de objetos», de forma que la ejecución de código Javascript sea supervisada.

Pantalla de configuración del JavaScript y seguridad global de objetos.

Configuración del JavaScript y seguridad global de objetos

Desde «Seguridad» se configura la verificación de firmas electrónicas, que debería estar activado para que, en caso de que el documento esté firmado, se compruebe si la firma es correcta. Dentro de esta opción, está el botón «Preferencias avanzadas» desde donde se puede configurar cómo se hará la verificación de la firma.

Pantalla de configuración de la comprobación de las firmas digitales del documento

Configuración de la comprobación de las firmas digitales del documento.

La opción de «Seguridad mejorada» permite prevenir la ejecución de comandos en Adobe Reader, de forma que solo los documentos de la lista, o que estén en la ruta especificada, se podrán ejecutar sin restricciones.

Pantalla de configuración de la seguridad mejorada

Configuración de la seguridad mejorada

Foxit PDF Reader

En este caso se ha incluido un administrador de seguridad, que permite configurar las opciones que  incorpora. El programa ha mejorado la compatibilidad con las protecciones ASLR (Addres Space Layout Randomización) y DEP (Data Executión Prevention) del sistema operativo. También incorpora un Modo Seguro (Safe Mode) que se activa o desactiva desde el Trust Manager (Gestor de confianza) mediante el que, directamente, no ejecuta comandos embebidos en el documento.

Para acceder a las opciones de Foxit PDF Reader (Preferences), desde el menú principal, la opción «Herramientas» (Tools) y después en «Preferencias» (Preferences). Se accede a una lista en la cual están las opciones de seguridad, entre otras muchas opciones.

Pantalla de acceso al menú preferencias de Foxit Reader

Acceso al menú «preferencias» de Foxit Reader

Configuración de JavaScript. Por defecto deberían estar desactivadas las acciones JavaScript.

Pantalla de configuración del JavaScript

Configuración del JavaScript

Configurar la validación de las firma electrónicas. Por defecto debería estar activada.

Pantalla de configuración de la comprobación de las firmas digitales

Configuración de la comprobación de las firmas digitales

Configuración de modo de lectura seguro. Por defecto debería estar activado.

Pantalla de configuración del administrador de confianza (modo seguro)

Configuración del administrador de confianza (modo seguro)

La última opción de seguridad es la de actualización (Updater), que debe estar marcada para comprobar las actualizaciones de forma automática cada 7 días, que es el periodo que viene prefijado y no permite poner una mayor frecuencia de actualización.

Pantalla de configuración de la comprobación de actualizaciones

Configuración de la comprobación de actualizaciones

Resumen.

Los ficheros PDF pueden contener, además de imágenes vectoriales, mapas de bits y texto, otro tipo de contenidos como secuencias de comandos o ficheros multimedia que son un posible vector de ataque para nuestro equipo si el malware aprovecha alguna vulnerabilidad en el software de lectura de ficheros PDF. Por este motivo, se debe configurar el lector de ficheros PDF de la forma más segura, sin comprometer la usabilidad.

Además, se deben tomar las precauciones necesarias sobre el origen de los ficheros PDF y, en caso de no conocerlo o no estar seguro, desecharlos. En el caso de ficheros PDF recibidos por correo electrónico, mensajería instantánea o redes sociales, que no se hayan solicitado, hay que ser muy cauto, al igual que con cualquier tipo de fichero «potencialmente peligroso» que pueda contener comandos (ejecutables, con macros y multimedia).

En caso de duda, se recomienda comprobar la «peligrosidad» de un PDF mediante un antivirus, aunque también hay servicios orientados a ficheros PDF, como por ejemplo: