analyzing-malicious-pdf-with-peepdf

peepdf を使用した悪意のある PDF の分析

使用する場面

• フィッシングメールに添付された不審な PDF をトリアージするとき
• PDF ベースのエクスプロイト文書をマルウェア分析するとき
• PDF から埋め込み JavaScript、シェルコード、または実行ファイルを抽出するとき
• 兵器化されたドキュメントの痕跡をフォレンジック調査するとき
• PDF ベースの脅威を検出するシグネチャを作成するとき

前提条件

• peepdf-3 をインストールした Python 3.8 以降（pip install peepdf-3）
• Didier Stevens suite の pdfid.py および pdf-parser.py
• 隔離された分析環境（VM またはサンドボックス）
• オプション：peepdf 内での JavaScript エミュレーション用 PyV8
• オプション：シェルコード分析用 Pylibemu

ワークフロー

1. pdfid でトリアージ：PDF をスキャンし、不審なキーワード（/JS、/JavaScript、/OpenAction、/Launch、/EmbeddedFile）を確認します。
2. 対話型分析：PDF を peepdf の対話型モードで開き、オブジェクト構造を調査します。
3. 不審なオブジェクトの特定：JavaScript、ストリーム、またはエンコードされたデータを含むオブジェクトを探します。
4. コンテンツの抽出：不審なストリームをダンプし、フィルター（FlateDecode、ASCIIHexDecode）をデコードします。
5. JavaScript の難読化解除：抽出した JS を分析し、シェルコード、ヒープスプレー、またはエクスプロイトコードを調べます。
6. VirusTotal の確認：peepdf vtcheck を使用して、ファイルハッシュを AV 検出結果と照合します。
7. IOC の生成：URL、ドメイン、ハッシュ、シェルコードのシグネチャを抽出します。

主な概念

概念	説明
/OpenAction	PDF を開いたときに実行される自動アクション
/JavaScript /JS	PDF オブジェクトに埋め込まれた JavaScript コード
/Launch	外部アプリケーションを起動するアクション
/EmbeddedFile	PDF 構造内に埋め込まれたファイル
FlateDecode	コンテンツを隠すために使用される zlib 圧縮フィルター
Object Streams	圧縮ストリームに格納された PDF オブジェクト

ツールとシステム

ツール	用途
peepdf / peepdf-3	JS エミュレーションを備えた対話型 PDF 分析
pdfid.py	不審なキーワードを素早くスキャンしてトリアージ
pdf-parser.py	PDF の深いオブジェクトレベル解析
VirusTotal	ハッシュ検索と AV 検出結果の照合
CyberChef	抽出したペイロードのデコードと変換

出力形式

Analysis Report: PDF-MAL-[DATE]-[SEQ]
File: [filename.pdf]
SHA-256: [hash]
Suspicious Keywords: [/JS, /OpenAction, etc.]
Objects with JavaScript: [Object IDs]
Extracted URLs: [List]
Shellcode Detected: [Yes/No]
Embedded Files: [Count and types]
VirusTotal Detections: [X/Y engines]
Risk Level: [Critical/High/Medium/Low]