El consejo de seguridad informática «No abras archivos adjuntos» es útil, pero no siempre aplicable. En situaciones reales, recibir un correo electrónico con un archivo adjunto como «CONTRATO CANCELADO.pdf» puede llevar a una decisión difícil: ¿se debe ignorar el mensaje o se debe abrir el documento?
Los archivos PDF siguen siendo herramientas comunes en campañas de phishing y distribución de malware. A menudo contienen URLs maliciosas, códigos QR que redirigen a sitios fraudulentos o documentos falsificados que imitan marcas reconocidas como bancos o servicios.
PDF Object Hashing: una herramienta para analistas
Una nueva herramienta de código abierto llamada PDF Object Hashing, lanzada por Proofpoint, permite detectar archivos PDF maliciosos mediante el análisis de sus huellas estructurales. Esta herramienta ayuda a los equipos de seguridad a crear reglas robustas basadas en las características únicas de los objetos dentro de los documentos PDF.
La empresa desarrolló esta técnica internamente para rastrear a múltiples actores de amenazas. La innovación aborda la creciente dependencia de los atacantes en el uso de archivos PDF para distribuir malware, phishing y ataques de compromiso de correo electrónico empresarial (BEC).
Al centrarse en la estructura del documento, en lugar de elementos volátiles como URLs o imágenes, la herramienta permite atribuir amenazas a grupos específicos. Aunque los atacantes evolucionan sus tácticas, esta técnica ayuda a identificar patrones.
La complejidad del formato PDF plantea desafíos de detección, desde flujos cifrados que ocultan URI hasta objetos comprimidos que esconden cargas útiles. La flexibilidad del PDF permite infinitas variaciones para garantizar la compatibilidad.
El hash de objetos PDF se aplica a la estructura general del documento, permitiendo ignorar imágenes señuelo específicas. Al examinar el tipo y orden de los objetos, se puede crear una «huella digital» única mediante el hash de sus valores. Esto permite buscar en una amplia gama de archivos PDF para detectar otros que coincidan con la «huella digital».
Las firmas tradicionales fallan ante estas evasiones, ya que pequeños ajustes inutilizan los hashes o metadatos. El hash de objetos PDF analiza la jerarquía de objetos del archivo y extrae tipos como Pages, Catalog, XObject/Image, Annotations/Link, Metadata/XML, Producer y Font/Type1.
Estos se concatenan en orden y se convierten en una «huella digital» estable, similar al imphash para ejecutables. Esto ignora los cambios específicos del señuelo, permitiendo la agrupación de archivos relacionados.
Proofpoint aplicó esta herramienta para rastrear a UAC-0050, un clúster dirigido a Ucrania con archivos PDF cifrados que suplantan OneDrive. Estos distribuyen el RAT de NetSupport mediante URL cargadas con JavaScript, evadiendo los analizadores gracias al cifrado.
El hash expuso similitudes estructurales, permitiendo la rápida creación de firmas y bloqueo de la carga útil (SHA256: ee03ad7c8f1e25ad157ab3cd9b0d6109b30867572e7e13298a3ce2072ae13e5).
De igual manera, UNK_ArmyDrive, un actor con sede en India y activo desde mayo de 2025, utiliza archivos PDF en señuelos BEC como documentos falsos del Ministerio de Bangladesh (SHA256: 08367ec03ede1d69aa51de1e55caf3a75e6568aa76790c39b39a00d1b71c9084).
Dangerzone: una herramienta para usuarios y periodistas
El trabajo de abrir documentos de desconocidos, ya sea por correo electrónico, mensaje de Signal o WhatsApp, o a través de SecureDrop, es común. Los periodistas también deben leer documentos descargados de todo tipo de sitios web, correos filtrados o pirateados.
Dangerzone es una herramienta de código abierto que busca solucionar este problema. Puede instalarla en cualquier sistema operativo y usarla para abrir diversos tipos de documentos: PDF, documentos de Microsoft Office o LibreOffice, o imágenes. Incluso si el documento original es peligroso, Dangerzone lo convierte en un PDF seguro que puede abrirse y leerse.
Es como imprimir un documento y volver a escanearlo para eliminar cualquier elemento sospechoso, pero todo se hace con software.
¿Cómo puede ser peligroso un documento?
Los PDF y documentos de Office son complejos. Se pueden configurar para que carguen automáticamente una imagen desde un servidor remoto al abrir el documento, rastreando cuándo se abre y desde qué dirección IP.
Pueden contener JavaScript o macros que, según la configuración del software, podrían ejecutarse al abrirse, tomando el control del equipo. Además, los programas usados para abrir documentos (Preview, Adobe Reader, Microsoft Word, LibreOffice, etc.) pueden tener errores que a veces se explotan para tomar el control del sistema operativo.
Inspirado por Qubes TrustedPDF
La idea de Dangerzone surgió de QubesOS, un sistema operativo que ejecuta todo en máquinas virtuales. En Qubes, se puede hacer clic derecho en un PDF y seleccionar «Convertir a TrustedPDF».
Dangerzone se inspira en TrustedPDF pero funciona en sistemas operativos no Qubes. Utiliza entornos aislados de gVisor que se ejecutan en contenedores Linux para abrir documentos peligrosos, en lugar de máquinas virtuales.
Dangerzone también añade algunas funciones que TrustedPDF no tiene: funciona con cualquier documento de Office, no solo PDF; utiliza reconocimiento óptico de caracteres (OCR) para que el PDF seguro tenga una capa de texto con capacidad de búsqueda; y comprime el PDF final seguro.
Danger,zone utiliza contenedores y, por lo tanto, al instalarlo por primera vez, se instala Docker Desktop. Cuando Dangerzone inicia el contenedor que desinfectará el documento sospechoso, primero inicia un entorno aislado de gVisor dentro de ese contenedor y luego ejecuta la carga de trabajo de procesamiento de documentos potencialmente peligrosos dentro del entorno aislado. Esto garantiza que el proceso que procesa el documento esté aislado del kernel de Linux.
El entorno aislado y su contenedor principal también están configurados para deshabilitar la red y no montar nada desde el sistema de archivos del host. Por lo tanto, si un documento malicioso logra ejecutar código arbitrario, este no tiene acceso al kernel del host, no tiene acceso a sus datos y no puede usar Internet, por lo que no puede hacer mucho.
Estos son los tipos de documentos que Dangerzone puede convertir en PDF seguros:
- PDF (.pdf)
- Microsoft Word (.docx, .doc)
- Microsoft Excel (.xlsx, .xls)
- Microsoft PowerPoint (.pptx, .ppt)
- ODF Text (.odt)
- ODF Spreadsheet (.ods)
- ODF Presentation (.odp)
- ODF Graphics (.odg)
- EPUB (.epub)
- Jpeg (.jpg, .jpeg)
- GIF (.gif)
- PNG (.png)
- SVG (.svg)
- TIFF (.tif, .tiff)
- Otras imágenes (.bmp, .pnm, .pbm, ppm)