L’an dernier, plus de 400 milliards de fichiers PDF ont été ouverts, et 16 milliards modifiés avec Adobe Acrobat. Aujourd’hui, le PDF est devenu le format de référence pour plus de 87 % des entreprises, que ce soit pour leurs échanges internes ou externes. Une popularité qui attire l’attention des cybercriminels : ce format largement adopté sert désormais de cachette idéale pour du code malveillant. Utilisés depuis longtemps comme vecteurs d’attaque, les fichiers PDF connaissent un regain d’intérêt dans les campagnes de cyberattaques.
Tribune CheckPoint – D’après Check Point, 68 % des attaques malveillantes passent par e-mail, et parmi ces menaces, 22 % utilisent des fichiers PDF en pièce jointe. Ce format, incontournable dans les échanges professionnels, s’impose désormais comme un vecteur discret, mais redoutable, surtout pour les entreprises qui traitent un grand nombre de documents au quotidien. Les cybercriminels mettent à profit leur maîtrise des outils de détection pour créer des PDF capables d’échapper aux analyses classiques. Résultat : ces fichiers affichent un taux de réussite élevé et deviennent un point d’entrée privilégié pour infiltrer les systèmes d’information.
Les cybercriminels redoublent d’ingéniosité pour contourner les systèmes de sécurité, rendant leurs attaques de plus en plus difficiles à détecter et à stopper. Selon Check Point Research (CPR), de nombreuses campagnes malveillantes sont passées sous le radar des solutions de sécurité classiques. Certaines n’ont même déclenché aucune alerte sur VirusTotal durant les douze derniers mois.
Dans cet article, nous analyserons l’évolution des tactiques qui se cachent derrière les attaques via fichiers PDF, la manière dont ces menaces arrivent à échapper aux systèmes de sécurité classiques, et le rôle de la solution Threat Emulation que propose Check Point. Conçue pour offrir une protection « zero day » en temps réel, cette technologie permet de bloquer les chaînes d’attaques liées aux PDF avant qu’elles n’aient le temps de compromettre un système ou de causer des dégâts.
Comprendre pourquoi les fichiers PDF attirent autant les cybercriminels
Les fichiers PDF sont bien plus complexes qu’ils n’en ont l’air. Régis par la norme ISO 32000, un document de près de 1 000 pages, ils intègrent une multitude de fonctionnalités souvent détournées à des fins malveillantes. Cette richesse en fait un terrain idéal pour les attaques, d’autant que certains systèmes de sécurité peinent à les analyser correctement. À bien des égards, les PDF ressemblent aux tests CAPTCHA : conçus pour piéger l’œil humain ou inciter à l’interaction, mais invisibles ou inoffensifs pour les outils de détection. C’est justement cette dualité, simplicité pour l’utilisateur et opacité pour la machine, qui les rend aussi attractifs pour les cybercriminels.
Les fichiers PDF malveillants ont nettement gagné en sophistication ces dernières années. Autrefois, les cybercriminels misaient surtout sur l’exploitation de vulnérabilités connues (CVE) dans les lecteurs PDF pour compromettre les systèmes. Mais avec le durcissement des mesures de sécurité, notamment sur les lecteurs intégrés aux navigateurs, désormais souvent utilisés par défaut, et la régularité des mises à jour, ces méthodes sont devenues moins efficaces, notamment pour les attaques à grande échelle.
Les attaques qui utilisent JavaScript ou d’autres contenus dynamiques intégrés aux fichiers PDF, sont aujourd’hui moins fréquentes, même si elles n’ont pas totalement disparu. Ces techniques sont souvent jugées trop « bruyantes », car elles déclenchent des comportements inhabituels facilement repérés par les solutions de sécurité. D’ailleurs, selon Check Point Research, la plupart des soi-disant « exploits » JavaScript s’avèrent peu fiables d’un lecteur PDF à l’autre. Parallèlement, de nombreux éditeurs de sécurité ont renforcé leurs capacités de détection pour réduire ces tentatives à néant.
Comme souvent en cybersécurité, quand une méthode perd en efficacité, une autre prend le relais. Face au renforcement des protections contre les exploits techniques, les cybercriminels ont revu leur approche. Plutôt que de s’attaquer à des vulnérabilités complexes, de nombreuses campagnes PDF misent désormais sur une arme bien plus simple… et souvent redoutable : l’ingénierie sociale.
Les cybercriminels privilégient les fichiers PDF dans leurs campagnes de phishing, car ce format inspire naturellement confiance. Souvent perçus comme des documents sûrs et légitimes, les PDF offrent une grande flexibilité qui permet de dissimuler facilement des liens malveillants, du code invisible ou d’autres contenus dangereux. Les cyberattaquants exploitent cette confiance pour maximiser l’impact de leurs campagnes. Autre avantage : les fichiers PDF présentent un avantage non négligeable, car échappent fréquemment aux filtres des solutions de sécurité des e-mails, qui ciblent en priorité d’autres types de pièces jointes.
Parmi les exemples courants d’attaques, on retrouve les fichiers PDF contenant un lien vers un site malveillant ou une page de phishing. Bien que cette méthode puisse sembler rudimentaire, sa force, c’est sa simplicité : elle permet en effet de contourner les systèmes de détection automatisés. L’objectif des attaquants est limpide : pousser l’utilisateur à cliquer sur le lien intégré pour enclencher la chaîne d’attaque.
Anatomie d’une campagne d’attaque par fichier PDF
Parmi les techniques d’attaque PDF les plus répandues, Check Point Research souligne la fréquence des campagnes basées sur des liens intégrés. Ce type d’attaques est particulièrement difficile à détecter, car les cybercriminels contrôlent l’intégralité du contenu du PDF : lien, image, texte, etc., et peuvent le modifier à leur guise pour contourner les filtres de sécurité. Cette flexibilité permet à ces attaques de résister aux outils de sécurité basés sur la réputation ou sur les signatures classiques. Même si ces attaques reposent sur une action humaine, comme un simple clic sur un lien, cela joue souvent en leur faveur. Les outils automatisés, comme les sandbox, ont du mal à reproduire avec précision les comportements humains.
Techniques d’évasion utilisées par les cybercriminels
Les acteurs malveillants font constamment évoluer leurs méthodes pour contourner les défenses en place. Leurs tactiques, souvent très ciblées, révèlent leur bonne connaissance des mécanismes de détection et sont souvent calibrées pour déjouer des outils bien précis, d’où une réelle difficulté à les identifier.
Techniques de dissimulation d’URL
Un des premiers signes qu’un PDF peut être malveillant, c’est le lien qu’il contient. Pour éviter d’être repérés, les cybercriminels utilisent plusieurs techniques pour dissimuler ou déguiser l’URL, comme par exemple :
- Redirection via des services légitimes : les attaquants utilisent souvent des services de redirection bien connus, comme Bing, LinkedIn ou les URL AMP de Google, pour cacher la véritable destination du lien malveillant. Comme ces services sont souvent considérés comme sûrs et figurent sur des listes blanches, ils permettent aux liens malveillants de passer plus facilement à travers les systèmes de sécurité basés sur la réputation des URL.
- Insertion de codes QR : une autre technique consiste à intégrer des codes QR dans les fichiers PDF, pour inciter la victime à les scanner avec son smartphone. Cette méthode permet de contourner les outils classiques de détection d’URL utilisés par les solutions de sécurité et ajoute une couche supplémentaire de sécurité.
- Arnaques téléphoniques: dans certains cas, les attaquants misent sur l’ingénierie sociale pour pousser les victimes à appeler un numéro de téléphone affiché dans le PDF. Cette approche élimine complètement l’utilisation d’une URL suspecte mais requiert une forte interaction humaine.
Évasion de l’analyse statique
Grâce à leur structure riche et flexible, les fichiers PDF peuvent facilement déjouer les outils de sécurité basés sur l’analyse statique, souvent utilisés pour repérer les comportements malveillants. Pour exploiter cette faiblesse, les cybercriminels obfusquent le contenu du fichier ou utilisent des techniques de codage qui en compliquent l’analyse.
Par exemple, les liens intégrés sont généralement définis sous forme d’annotations, mais celles-ci peuvent être encodées de manière à tromper les moteurs d’analyse. À cela s’ajoutent de légères variations d’interprétation entre les différents lecteurs PDF : une même annotation peut paraître inoffensive pour un outil de sécurité… mais devenir active et malveillante une fois ouverte dans un lecteur ciblé. Les cybercriminels jouent sur cette ambigüité pour contourner les systèmes de détection automatisés.
Obscurcissement des fichiers
Les fichiers PDF peuvent être volontairement brouillés pour masquer des comportements malveillants. Les attaquants ont recours à des techniques comme le chiffrement, l’usage de filtres ou d’objets indirects pour dissimuler le contenu réel du fichier. Si ces fichiers peuvent paraitre corrompus ou suspects à première vue, la majorité des lecteurs PDF sont conçus pour ignorer les anomalies mineures et privilégier l’affichage, même en cas de non-conformité. Résultat : le fichier s’ouvre normalement pour l’utilisateur… tout en échappant aux mécanismes de détection automatisés.
Évasions des systèmes d’apprentissage automatique
Avec l’essor de l’apprentissage automatique pour détecter les menaces, les attaquants adaptent leurs techniques pour contourner ces modèles. L’une des tactiques les plus courantes consiste à intégrer du texte dans des images, plutôt que d’utiliser du texte brut. Cela oblige les systèmes à utiliser la reconnaissance optique de caractères (OCR), une étape plus complexe et sujette aux erreurs et plus lente à réagir. Certains cybercriminels vont encore plus loin en dégradant volontairement la qualité des images, ou en altérant subtilement les caractères du texte pour piéger les algorithmes de reconnaissance.
Les attaquants peuvent également insérer du texte invisible ou extrêmement réduit en taille dans les fichiers pour leurrer les modèles de traitement du langage naturel (NLP). Ces manipulations rendent plus difficile l’interprétation correcte du contenu par les systèmes de sécurité, qui peinent alors à identifier l’intention réelle du document.
Comment se protéger des attaques par fichiers PDF
Les solutions Check Point Threat Emulation et Harmony Endpoint offrent une protection avancée contre un large éventail de techniques d’attaque, de types de fichiers et de systèmes d’exploitation. Elles détectent et bloquent efficacement les menaces évoquées dans cet article.
Mais au-delà de la technologie, quelques gestes simples peuvent aider à réduire les risques:
- Vérifiez toujours l’expéditeur
Même si le PDF semble légitime, prenez le temps d’examiner l’adresse e-mail de l’expéditeur. Les cybercriminels se font souvent passer pour des marques connues ou des collègues pour vous inciter ne pas vous méfier du document.
- Méfiez-vous des pièces jointes
Si vous recevez un PDF que vous n’attendiez pas, surtout s’il contient un lien, un code QR à scanner ou un numéro de téléphone, considérez-le comme potentiellement suspect. En cas de doute, ne cliquez ou ne scannez rien.
- Passez la souris sur le lien avant de cliquer
Avant de cliquer sur un lien dans un PDF, survolez-le avec la souris pour en afficher l’URL complète. Soyez particulièrement vigilant avec les liens raccourcis ou avec ceux utilisant des services de redirection tels que Bing, LinkedIn ou Google AMP.
- Utilisez un lecteur de PDF sécurisé
Privilégiez les lecteurs PDF intégrés aux navigateurs modernes. Gardez-les à jour et évitez les logiciels obsolètes ou peu connus, souvent dépourvus de protections essentielles.
- Désactivez JavaScript dans vos lecteurs PDF
Si votre lecteur prend en charge JavaScript, désactivez-le sauf si son activation est absolument indispensable. Cela réduit considérablement les risques d’exécution de scripts malveillants intégrés dans les documents.
- Maintenez vos systèmes et outils de sécurité à jour
Système d’exploitation, navigateur, antivirus… chaque composant doit être régulièrement mis à jour. Les correctifs comblent des failles souvent exploitées dans les attaques via fichiers PDF.
- Fiez-vous à votre instinct
Si un PDF vous paraît suspect, s’il vous propose une offre trop belle pour être vraie, si sa mise en page semble inhabituelle, que vous trouvez des fautes grossières, ou vous demande de partager des informations sensibles, ne prenez pas de risque. Mieux vaut s’abstenir que de se faire piéger.
