PDF-Dokumente sind als Vehikel für den Transport von Schadprogrammen aus mehr als einem Grund beliebt: Zum ersten gilt das PDF-Format als Quasi-Standard für die Weitergabe von Schriftstücken im Web und gilt den meisten Anwendern als vertrauenswürdig. Kaum jemand würde daher seinen Spamfilter so konfigurieren, dass E-Mails, die ein PDF-Dokument im Anhang tragen, automatisch entsorgt werden.
Zum zweiten lassen sich PDF-Dokumente ohne großen Aufwand manipulieren: Ein Texteditor und ein paar kleine Tools genügen, um den benötigten Javascript-Code einzuschleusen, mit dem sich gezielt Lücken in speziellen Versionen des Adobe Reader und anderer Tools zur Darstellung von PDF-Dokumenten ausnutzen lassen.
Zum dritten tun sich Virenscanner und andere Schutzsysteme relativ schwer, bösartige von legitimen PDF-Dokumenten zu unterscheiden. Die bloße Anwesenheit von Javascript-Code ist ja von den Entwicklern des Formats vorgesehen und daher noch kein Beweis für einen Schädlingsbefall. Besonders, wenn eigentlich legitime, inhaltlich umfangreiche PDF-Dokumente nachträglich von Cyberkriminellen manipuliert werden, sind sie für Menschen und Computer gleichermaßen schwer als bösartig zu identifizieren.
Letztlich kommt es daher vor allem auf die Anwender an. Sophos rät zu einem grundsätzlich misstrauischen Umgang mit PDF-Dokumenten unklarer Herkunft, und zu einer häufigen Aktualisierung der zur Anzeige von PDF-Dokumenten verwendeten Software, ob es sich nun um den beliebten Adobe Reader, die verbreitete Alternative Foxit Reader oder irgendein anderes Programm handelt.
