# 关于 EDR 与 VPN 相关整改建议的pdf后门事件分析 **URL:** \ **Category:** 宽字节安全\ **Created:** [2021 年8 月 2 日 03:22 UTC](https://forum.90sec.com/t/topic/1808 "2021-08-02T03:22:45Z")\ **Posts on this page:** 1\ **Page:** 1
作者： ![unicodeSec](https://forum.90sec.com/user_avatar/forum.90sec.com/unicodesec/32/6830_2.png) [@unicodeSec](https://forum.90sec.com/u/unicodeSec)\ 发布日期： [2021 年8 月 2 日 03:22 UTC](https://forum.90sec.com/t/topic/1808/1 "2021-08-02T03:22:45Z")
## 简介 朋友圈都在流传下面这个截图 ![](https://potatso-1253210846.cos.ap-beijing.myqcloud.com//img20200816233437.jpg) 关于 EDR 与 VPN 相关整改建议的pdf的行为分析。很好奇，于是找来团队内大佬要一份样本，开始分析 ## 解析pdf 首先使用PDF Stream Dumper(http://sandsprite.com/blogs/index.php?uid=7&pid=57) 查看解析pdf文件 ![](https://potatso-1253210846.cos.ap-beijing.myqcloud.com//img20200816233541.png) 当然，后面如果遇到可疑样本，都可以用该工具简单分析一下pdf文件。 ### 溢出漏洞 首先我们点击Exploits\_scan，查看一下pdf有没有利用溢出等漏洞的地方。结果如图，没有任何问题 ![](https://potatso-1253210846.cos.ap-beijing.myqcloud.com//img20200816233741.png) ### JavaScript 代码 点击左侧每个object查看，结果如图，还是没有 ![](https://potatso-1253210846.cos.ap-beijing.myqcloud.com//img20200816233835.png) 看来结论已经的得出，该pdf没有问题。下面我们使用在线沙箱加载该pdf ## 在线沙箱运行 在这里我使用 any.run 在线沙箱。有需要的朋友可以使用，完全免费。 ![](https://potatso-1253210846.cos.ap-beijing.myqcloud.com//img20200816234036.png) 点击New task，在对话框中上传pdf文件。然后点击Run运行即可。 ![](https://potatso-1253210846.cos.ap-beijing.myqcloud.com//img20200816234119.png) 分析完成界面如下所示 ![](https://potatso-1253210846.cos.ap-beijing.myqcloud.com//img20200816234202.png) 下面我们分别来解释下分析结果 #### 网络请求 ![](https://potatso-1253210846.cos.ap-beijing.myqcloud.com//img20200816234256.png) 我们可以点击下面的http request或者connectiion 查看进程的网络连接。当然，在这里则是加载该pdf的进行 发起请求的进程，通过谷歌查找，如下 ![](https://potatso-1253210846.cos.ap-beijing.myqcloud.com//img20200816234455.png) 请求的内容，也都与adobe有关。没有任何shellcode下载行为 #### 进程信息 ![](https://potatso-1253210846.cos.ap-beijing.myqcloud.com//img20200816234610.png) 在这里，我们可以看到所有的进程信息。乍一看，该pdf启动了很多进程。但是实际上，则都是adobe加载一个pdf所必须的进程。我们可以点击一个进程，查看more info，如图 ![](https://potatso-1253210846.cos.ap-beijing.myqcloud.com//img20200816234722.png) 在这里，则会看到每个进程的详细信息，包括文件读写情况，注册表独写情况，网络io请求等等一切信息。如图 ![](https://potatso-1253210846.cos.ap-beijing.myqcloud.com//img20200816234801.png) 也没有发现任何有问题的地方。 #### IOC any.run可以将网络请求与恶意ip库相关联。我们查看一下该样本的IOC ![](https://potatso-1253210846.cos.ap-beijing.myqcloud.com//img20200816235044.png) ![](https://potatso-1253210846.cos.ap-beijing.myqcloud.com//img20200816235101.png) 依旧没问题 ## 结论 但是上面朋友圈流传的图又是怎么回事呢？仔细一看，原来都是adobe创建的进程哇。。。。这是谁家的沙箱，看起来有点不太好用的样子。。。 该pdf任何问题都没有，所以同志们一定要把在线沙箱玩明白。不要看见风就是雨，总想搞个大新闻。一定要分析，分析，分析 # 关键点：一定要找一个能看清行为的在线沙箱，在这里我推荐 https://app.any.run/ hw期间，如有可疑样本，欢迎后台发送给我们团队