基于混合特征的恶意PDF文档检测

杜学绘，林杨东，孙奕

（解放军战略支援部队信息工程大学河南省信息安全重点实验室，河南 郑州 450001）

1 引言

PDF是由Systems[1]在1993年提出的，用于文件交换的一种文件格式，其优点在于跨平台、能保留文件原有格式、开放标准等。PDF文件格式自被提出以来，就以其高效性、稳定性和交互性而被广泛应用于政府、组织、企业等重要机构的日常办公。

自2008年第一个基于恶意代码的PDF漏洞[2]被提出后，针对PDF文件格式漏洞的利用技术迅速发展。近几年来，随着社会工程学和APT（advanced persistent treat）等攻击手段的兴起和发展，PDF格式的漏洞也不断被挖掘出来，利用嵌入恶意PDF文档的钓鱼邮件，结合社会工程学对政府、组织、企业等进行攻击的案例也屡见不鲜。

2016年9月，PaloAlto研究中心的安全研究人员首先发现了针对苹果系统的新型钓鱼邮件攻击，其技术核心在于钓鱼邮件中携带有木马病毒的恶意PDF文档。2017年5月12日，WannaCry勒索病毒软件借助高危漏洞“永恒之蓝”在全球范围内爆发，攻击范围覆盖医疗、教育、公安等多个行业，影响极其恶劣。相关人士表示，WannaCry勒索病毒主要通过钓鱼邮件结合恶意附件进行传播，然后嵌入文档、感染文档并对文档进行加密。

种种案例表明，钓鱼邮件是当前恶意文档的主要传播途径，攻击者通常将恶意文档作为邮件附件，结合社会工程学等，诱使用户打开恶意文档，从而执行进一步的恶意操作。现有的针对恶意PDF文档的反病毒系统大多是基于签名的方法和基于启发式规则的方法[3]，其在应对多态攻击方面存在一定的缺陷，且无法应对新型安全威胁。……