この記事は、次のサイトを参考にしています。
EXPMON detected sophisticated zero-day fingerprinting attack targeting Adobe Reader users
https://justhaifei1.blogspot.com/2026/04/expmon-detected-sophisticated-zero-day-adobe-reader.html
本記事は、EXPMON（高度なエクスプロイト検知・解析基盤）が検出した、
Adobe Reader を標的とする非常に高度なゼロデイPDF攻撃の分析レポートです。
単なる脆弱性検証ではなく、
「実際に使われている可能性が高い、APTレベルの指紋収集型（fingerprinting）攻撃」
である点が最大の特徴です。
主なポイント
① 最新版 Adobe Reader にも有効なゼロデイ攻撃
- 攻撃は 執筆時点の最新版 Adobe Reader（26.x 系） でも成功
- ユーザー操作は PDFを開くだけ
- 未修正（unpatched）の ゼロデイ脆弱性 を悪用
② 目的は「即RCE」ではなく高度な Fingerprinting
このPDFは、単に即座のマルウェア実行を狙うものではなく、
- OSの正確なバージョン
- Adobe Reader の詳細バージョン
- 言語設定
- PDFのローカルパス
- ローカルファイルの内容（例：DLL、画像など）
といった 詳細な端末情報を広範に収集・窃取 します。
これは 「次段攻撃の対象選別」 を目的とした、APTでよく見られる前段階の挙動です。
③ 権限昇格された Acrobat API の悪用
特に危険なのが以下の点です。
util.readFileIntoStream()
→ サンドボックス内とはいえ 任意ファイルの読み取りが可能RSS.addFeed()
→ 外部サーバとの通信・追加JSコードの受信と実行
これらは 本来制限されるべき Acrobat の特権API であり、
ゼロデイとして悪用されている点が強調されています
④ C2サーバによる条件付き攻撃（APT的挙動）
- 攻撃用サーバはオンライン
- ただし 全環境には追加ペイロードを返さない
- 環境情報に基づき「攻撃対象かどうか」を選別
実験的検証では、
条件を満たせば追加JavaScript（将来的なRCE/SBX）が実行可能 であることが確認されています
EXPMONの「Detection in Depth」による検出
今回の発見は、
- シグネチャ検知ではなく
- 挙動・ログ・ビッグデータ分析を組み合わせた多層検知
によって行われました。
引用元サイトは、PDF JavaScript の柔軟性を逆手に取った攻撃に対抗するための高度検知機構であると説明しています。
【広告】インストール不要なPDFツールに興味ありませんか？
Windows標準の“足りない”を補完。閉域網・分離環境で業務向け。
回避策：Adobe Reader の JavaScript 無効化は有効か？
Adobe Reader の JavaScript を無効化することは、本攻撃に対して非常に有効な回避策であると考えられます。
※MS365 でも Adobe ReaderのJavaScriptを無効化することを推奨しています。（業務面で可能なら）
なぜ JavaScript 無効化が効くのか
本記事で確認されたゼロデイPDF攻撃は、以下のように Adobe Reader の JavaScript 実行機構を中核として成立しています。
- PDF内で難読化された JavaScript を自動実行
RSS.addFeed()を悪用し、外部の攻撃者サーバと通信util.readFileIntoStream()を用い、ローカルファイルを読み取り・窃取- 収集した端末情報を送信し、条件次第で追加の JavaScript を受信・実行 1
これらはいずれも JavaScript が実行できなければ成立しない処理です。
そのため、
Adobe Reader で JavaScript を無効化すれば、少なくとも今回確認された攻撃チェーンは初期段階で遮断できる
とまとめることができます。
ただし「完全な対策」ではない点に注意
一方で、JavaScript 無効化だけで 万全とは言い切れない 点も重要です。
PDF攻撃は JavaScript 以外の経路が過去に存在しています。（フォント処理や画像レンダリング、ストリーム解析など）
そのため、将来の派生バリアントが非JavaScript型で登場する可能性は否定できません。
また、業務PDFとの両立が課題です。
入力フォームや自動計算、ボタン操作やワークフロー制御 など、JavaScriptを前提としたPDFも少なくありません。そのため、全社一律で無効化すると業務影響が出る可能性があり、セキュリティと利便性のトレードオフという現実的な問題が生じます。
