PDFs maliciosos permitem invasão no Windows XP com IE7

Inofensivos PDFs… Quem dera se fossem inofensivos. Quando começaram permitir arquivos embutidos, vídeo, scripts e tudo mais, a preocupação começou. Afinal é dado como certo de que apenas “executáveis” são perigosos no Windows, e muita gente pode abrir PDFs nas versões recentes do Acrobat Reader “tranqüilas” que nada deveria acontecer. Mas não é bem assim.

Uma falha foi descoberta no Acrobat Reader. Em conjunto com o Windows XP e IE 7 (outra maravilha), ela permite a invasão do computador através de arquivos PDF “maliciosos”. Uma falhinha “boba”, no uso do comando “mailto:”, que abriria no sistema um programa para envio de e-mails, permite abrir um arquivo anexo no PDF, como um trojan, por exemplo. Sem que a vítima perceba nada.

Isso só acontece nessa combinação, Acrobat Reader 8.1 ou superior, rodando no Windows XP com IE7 (não são afetados o Windows Vista, nem o XP com IE6).

A solução temporária, recomendada pela própria Adobe (enquanto a correção não fica pronta) é editar o registro, num ponto que desativa o uso do link “mailto:” no Acrobat ou Acrobat Reader.

A edição do registro pode causar instabilidades no sistema quando mal feita, isso os usuários do Windows já sabem. Mas com um mundo de sites fornecendo arquivos diversos e apostilas por todo lado em PDF, vai saber quem será a próxima vítima. Vale a pena desativar. Abra o “regedit” pelo “Iniciar > Executar”, e localize a chave:

No Acrobat:

HKEY_LOCAL_MACHINESOFTWAREPoliciesAdobeAdobe Acrobat8.0FeatureLockDowncDefaultLaunchURLPerms

No Reader (a maioria usa este, o Reader, que é o leitor de PDFs, e não criador):

HKEY_LOCAL_MACHINESOFTWAREPoliciesAdobeAcrobat Reader8.0FeatureLockDowncDefaultLaunchURLPerms

Localize o item “tSchemePerms”, dê um duplo clique para editá-lo e troque o valor em “mailto:2” para “mailto:3”. Ficará assim o valor do item “tSchemePerms”:

version:1|shell:3|hcp:3|ms-help:3|ms-its:3|ms-itss:3|its:3|mk:3|mhtml:3|help:3|

disk:3|afp:3|disks:3|telnet:3|ssh:3|acrobat:2|mailto:3|file:2

Feito isso, nas próximas aberturas do Acrobat ele não reconhecerá os links com “mailto:”, impossibilitando o arquivo malicioso de agir.

A Adobe diz que pretende lançar a correção antes do fim de outubro. Lembrando, isso é só para usuários do Windows XP com IE7, e Acrobat Reader 8.1 ou superior (configuração muito comum hoje em dia, já que a maioria dos leitores de PDFs usam as pesadas recentes versões do Acrobat Reader).

Leia a divulgação da falha no site da própria Adobe:

http://www.adobe.com/support/security/advisories/apsa07-04.html