Деструктивная активность
При активации эксплоит проверяет версию Adobe Acrobat/Reader и в зависимости от этого выполняет следующие действия:
- в случае версии 8-8.1.2 эксплоит использует уязвимость, существующую из-за ошибки форматной строки в JavaScript функции "util.printf()" при обработке строк, передаваемых в качестве аргументов (CVE-2008-2992).
- для других версий эксплоит использует уязвимость переполнение буфера при вызове функции "Collab.collectEmailInfo" (CVE-2007-5659).
Эксплоит загружает файл со следующего URL: http://f7*****8080/welcome.php?id=5&hello17 На момент создания описания ссылка не работала. В случае успешной загрузки скачанный файл записывается во временный каталог текущего пользователя. %Temp%\pdfupd.exe После чего запускается на выполнение и эксплоит завершает свою работу. (взято с http://www.securelist.com/ru/descriptions/12478810/Exploit.JS.Pdfka.ti