PDFヘッダー分析
主要要素
JavaScript関連キーワード:
/JS,/JavaScript,/AA,/OpenActionPDFファイル内のJavaScriptは、自動的に実行される可能性のある悪意のあるスクリプトを含む場合があります。
悪意のあるPDFは主にJavaScriptを使用して脆弱性を攻撃します。
埋め込みファイル:
/EmbeddedFile,/LaunchPDFに埋め込まれたファイルは、実行可能な悪意のあるファイルである可能性があります。
/Launchキーワードは、PDFファイルが特定のプログラムを実行するよう指示する可能性を示します。
暗号化:
/EncryptPDFが暗号化されている場合、ファイル内部の内容を分析することが難しくなります。これは正当な理由がある場合もありますが、悪意を持って内容を隠そうとする意図である可能性もあります。
フォームおよびマルチメディア:
/AcroForm,/RichMedia,/JBIG2Decode,/XFAフォームおよびマルチメディア要素は、悪意のあるコードや活動を隠す手段として使用される場合があります。特に
/XFAはPDFの動的フォームを定義するために使用され、複雑なインタラクションを含む可能性があります。
ストリームおよびオブジェクト:
obj,endobj,stream,endstreamストリームとオブジェクトの数が異常に多い場合、PDFファイル内に隠されたデータやコードが多く含まれていることを示唆します。
ページ数:
/Pageページ数はPDFの大きさや内容を大まかに把握する手助けとなります。異常に多いページ数には注意が必要です。
その他の構造的要素:
xref,trailer,startxrefこれらの要素はPDFファイル構造の整合性を確認する上で重要です。破損や異常な構造は悪意のあるPDFの兆候である可能性があります。
主要キーワードの説明および分析
JavaScriptコードが自動実行される可能性があるため注意が必要です。この例では値は0です。
このPDFが特定のプログラムを実行しようとしている可能性があります。
暗号化されている場合、内容の確認が困難になります。
フォームの有無を確認します。マルチメディアの有無を確認します。
オブジェクトの数が非常に多い場合、注意が必要です。 ストリームとオブジェクトの不一致は異常を示す可能性があります。 ページ数が異常に多い場合、分析が必要です。 ファイル構造の整合性を確認します。
要約
フォレンジック分析の際、以下の手順を実行できます:
JavaScriptコードの分析:
/JS,/JavaScript関連のコードを確認し、存在する場合は内容を解析します。埋め込みファイルおよび実行の分析:
/EmbeddedFile,/Launchキーワードを確認し、実行されるプログラムを特定します。暗号化の確認:
/Encryptキーワードを確認し、暗号化されている場合は解除して内容を確認します。フォームおよびマルチメディアの分析:
/AcroForm,/RichMedia,/JBIG2Decode,/XFAキーワードを確認し、それらの内容を詳しく分析します。オブジェクトおよびストリームの分析: ストリームやオブジェクトの数を確認し、隠されたデータやコードを検出します。
構造的整合性の確認:
xref,trailer,startxrefキーワードを確認し、PDFファイル構造の整合性を確保します。
これらの手順を通じて、悪意のあるPDFファイルを識別し、必要に応じてさらなる分析を通じて悪意のある活動を検出できます。
参考資料
Last updated