Un fichier PDF ne se comporte pas comme un exécutable classique. Il ne s’installe pas, ne modifie pas le registre, ne lance pas de processus visible. C’est précisément ce qui le rend redoutable : le vecteur d’attaque repose sur la confiance accordée au format, pas sur ses capacités d’exécution directes.
Vecteurs d’exécution dans un PDF : JavaScript, objets embarqués et vulnérabilités du lecteur
Le format PDF supporte nativement JavaScript. Un script intégré peut déclencher des actions à l’ouverture du document, comme un appel réseau ou le lancement d’un formulaire piégé. Adobe Reader exécute ce JavaScript dans un bac à sable, mais les lecteurs tiers n’appliquent pas tous les mêmes restrictions.
Lire également : Comment rendre un PDF lisible par OCR ?
Les objets embarqués constituent un second vecteur. Un PDF peut encapsuler d’autres fichiers (documents Office, exécutables, archives). Le lecteur demande normalement une confirmation avant extraction, mais certaines versions anciennes ne le font pas systématiquement.
Le troisième vecteur concerne les vulnérabilités du moteur de rendu lui-même. Les bulletins du CERT-FR continuent de référencer des failles dans Adobe Acrobat et d’autres lecteurs PDF. Un PDF valide et sans script peut exploiter une faille du lecteur à la simple ouverture.
A lire en complément : Qu'est-ce qui va remplacer Access ?
Garder un lecteur PDF à jour reste un contrôle de sécurité à part entière.
Faux PDF et usurpation d’extension : le fichier qui n’en est pas un
Le danger ne vient pas toujours du contenu du PDF. Il vient parfois du fichier qui se fait passer pour un PDF.
Un nom de fichier tel que facture.pdf.bat apparaît comme un simple PDF lorsque Windows masque les extensions connues (comportement par défaut). L’utilisateur double-clique et lance en réalité un script batch. Un retour d’incident documenté par HAVOC IT décrit un fichier de ce type ayant exécuté PowerShell pour télécharger un composant malveillant sur la machine cible.
Nous recommandons d’activer l’affichage des extensions de fichiers sur tous les postes. Ce réglage prend quelques secondes et neutralise une catégorie entière d’attaques par usurpation.
- Sous Windows : Explorateur de fichiers > Affichage > cocher « Extensions de noms de fichiers »
- Sous macOS : Finder > Préférences > Avancé > cocher « Afficher toutes les extensions de fichiers »
- Sur un serveur de messagerie : configurer le filtrage pour bloquer les doubles extensions (.pdf.exe, .pdf.bat, .pdf.scr)
PDF et ingénierie sociale : compromission sans malware
Un PDF peut être techniquement propre et néanmoins dangereux. Des campagnes documentées par Microsoft ont utilisé des QR codes intégrés dans des documents PDF pour rediriger les destinataires vers des pages de vol d’identifiants. L’antivirus ne détecte rien parce qu’il n’y a ni script, ni exploit, ni objet embarqué.
Le document se contente d’afficher un QR code ou un lien hypertexte menant vers un formulaire de phishing. L’attaque repose entièrement sur l’action de l’utilisateur après ouverture, pas sur le fichier lui-même. Ce type de campagne cible en priorité les flux métier courants : fausses factures, faux avis de livraison, faux documents à signer.
Signaux d’alerte dans le contexte d’envoi
Les recommandations opérationnelles de Blue Lantern Security préconisent de vérifier séparément l’expéditeur, le domaine, l’action demandée et l’existence attendue du document. Une facture PDF reçue sans commande préalable, un document « urgent » provenant d’un contact inhabituel, une demande de connexion via un lien dans le PDF : chaque élément de contexte pèse autant que l’analyse technique du fichier.
Mesures de protection côté lecteur PDF et messagerie
Désactiver JavaScript dans le lecteur PDF réduit la surface d’attaque de façon significative. Dans Adobe Acrobat, le réglage se trouve dans Préférences > JavaScript > décocher « Activer JavaScript d’Acrobat ». La majorité des documents légitimes ne nécessitent pas JavaScript pour être lisibles.
Le mode protégé (sandbox) d’Adobe Acrobat doit rester activé en permanence. Il isole le processus de rendu du reste du système d’exploitation. Les lecteurs alternatifs comme SumatraPDF n’exécutent pas JavaScript du tout, ce qui en fait un choix défensif pertinent pour la consultation de documents reçus par mail.
Côté messagerie, le filtrage en amont fait la différence :
- Bloquer les pièces jointes portant des doubles extensions (.pdf.exe, .pdf.bat, .pdf.scr) au niveau du serveur de messagerie
- Analyser les PDF entrants avec un moteur antivirus capable d’inspecter les objets embarqués et les scripts JavaScript
- Isoler les pièces jointes suspectes dans un environnement de détonation (sandbox) avant remise à l’utilisateur
- Désactiver le rendu automatique des aperçus PDF dans les clients mail lorsque c’est configurable
Mises à jour du lecteur : un correctif tous les trimestres ne suffit pas
Adobe publie des correctifs de sécurité selon un calendrier mensuel. Attendre un cycle trimestriel de déploiement interne laisse une fenêtre d’exposition exploitable. Chaque vulnérabilité non corrigée dans un lecteur PDF constitue une porte d’entrée active, indépendamment du contenu du fichier ouvert.
Ouvrir un PDF n’est pas un acte anodin. Le format embarque suffisamment de fonctionnalités pour servir de vecteur d’attaque directe ou de support d’ingénierie sociale. La combinaison d’un lecteur à jour, de JavaScript désactivé, d’extensions de fichiers visibles et d’un filtrage en amont sur la messagerie couvre les scénarios les plus fréquents. Le maillon restant, c’est la vigilance sur le contexte d’envoi du document, et aucun outil ne la remplace.
