用 peepdf 等工具对可疑 PDF…

当收到钓鱼邮件中的可疑 PDF 附件或疑似武器化 PDF 文档时，通过静态分析提取其中的 JavaScript、shellcode 和可疑对象。

适用场景

解决思路

1. 用 pdfid 做初步筛查：扫描 PDF 中是否包含 /JS、/JavaScript、/OpenAction、/Launch、/EmbeddedFile 等可疑关键字。
2. 用 peepdf 交互模式打开 PDF，逐层查看对象结构，定位包含 JavaScript、流对象或编码数据的可疑对象。
3. 用 pdf-parser.py 做对象级深度解析，导出可疑流（stream）并解码其过滤器（如 FlateDecode、ASCIIHexDecode）以还原真实内容。
4. 对提取出的 JavaScript 进行反混淆分析，查找 shellcode、堆喷射（heap spray）或漏洞利用代码。
5. 使用 peepdf 的 vtcheck 功能，将文件哈希与 VirusTotal 的 AV 检测结果交叉比对。
6. 从分析结果中提取 IOC：URL、域名、哈希以及 shellcode 特征，用于后续检测规则编写。
7. 按固定格式输出分析报告，包含文件名、SHA-256、可疑关键字、含 JavaScript 的对象 ID、提取的 URL、是否检测到 shellcode、嵌入文件数量与类型、VirusTotal 检出率及风险等级。

适用边界 · 注意事项

• 不要在联网或非隔离的生产环境中直接打开或分析可疑 PDF，需在隔离虚拟机或沙箱中进行。
• 若仅需快速判断是否为恶意，可先用 pdfid 做轻量筛查，不必立即进入 peepdf 交互式深度分析。
• 缺少 Python 3.8+ 及 peepdf-3、pdfid.py、pdf-parser.py 等工具时无法执行该流程。