PDF Forensics Tools — криміналістичний аналіз PDF-документів

Швидкий старт

Набір спеціалізованих інструментів для криміналістичного аналізу PDF-документів — виявлення підроблених дат, прихованих модифікацій, embedded JavaScript / malware, перевірка цифрових підписів і revision history. Основа набору — open-source утиліти PDFiD і PDF-Parser від Didier Stevens (Бельгія) + комерційний Adobe Acrobat Pro для роботи з підписами. Особливо важливі для адвокатів, які працюють із договірними спорами, спадковими справами, кримінальними справами про підробку документів і фішингом.

Доступ

🔓 Безкоштовно для open-source інструментів; 💰 Adobe Acrobat Pro платно

PDFiD (Didier Stevens)

• Сайт: blog.didierstevens.com/programs/pdf-tools
• Тип: Python-скрипт для швидкого сканування ризикованих keywords
• Розробник: Didier Stevens (Бельгія)
• Доступ: 🔓 безкоштовно, open-source
• Платформи: Linux, macOS, Windows (Python required)
• Вбудовано у: Kali Linux

PDF-Parser (Didier Stevens)

• Сайт: blog.didierstevens.com/programs/pdf-tools
• Тип: Python-скрипт для глибокого аналізу структури PDF
• Розробник: Didier Stevens (Бельгія)
• Доступ: 🔓 безкоштовно, open-source
• Функції: розбір об’єктів, витяг embedded JavaScript, аналіз cross-reference table

Adobe Acrobat Pro

• Сайт: adobe.com/acrobat/acrobat-pro.html
• Тип: комерційний десктопний застосунок
• Розробник: Adobe Inc.
• Доступ: 💰 від $19.99/міс (Individual) або $23.99/міс (Business)
• Ключова функція: перевірка цифрових підписів і revision history

ExifTool (для метаданих PDF)

• Сайт: exiftool.org
• Деталі — у статті ExifTool

Безкоштовні веб-альтернативи

• PDFCandy (pdfcandy.com) — онлайн перегляд метаданих PDF
• OnlineOCR — для витягу тексту з PDF
• iLovePDF — швидкі операції з PDF

Що аналізуємо в PDF

📋 Ключові поля метаданих:

• Creator — додаток, що створив контент (Microsoft Word, LibreOffice, Google Docs тощо)
• Producer — PDF producer tool (Adobe PDF Library, GhostScript, jsPDF тощо)
• CreationDate — дата створення PDF
• ModDate — дата останньої модифікації
• Author — автор документа (часто заповнюється з ОС-облікового запису)
• Title, Subject, Keywords — описові метадані

📋 Структурні елементи:

• Cross-reference table (xref) — НЕ можна очистити; показує справжню історію модифікацій
• Incremental updates — кожна зміна додає новий xref, показуючи історію
• Object stream — внутрішня структура PDF з посиланнями
• Linearization — для оптимізації веб-доступу (показує тип producer)
• Digital signatures — криптографічні підписи з метаданими підписанта

📋 Ризикові keywords (PDFiD):

• /JavaScript, /JS — embedded JavaScript (фішинг, malware)
• /OpenAction, /AA — автоматичні дії при відкритті
• /Launch — запуск зовнішніх програм
• /EmbeddedFile — вкладені файли (часто містять malware)
• /URI — посилання на зовнішні URL
• /SubmitForm — відправка форм на зовнішні сервери

Як це працює (5 кроків)

Через PDFiD (швидке сканування)

1. Завантажити PDFiD з blog.didierstevens.com (або використати в Kali Linux)
2. Виконати в терміналі: python pdfid.py document.pdf
3. Подивитися на counts ризикованих keywords — якщо є /JavaScript, /OpenAction, /Launch — підозрілий PDF
4. Для глибокого аналізу — python pdf-parser.py --search /JavaScript document.pdf
5. Зберегти JSON-звіт для долучення до справи

Через Adobe Acrobat Pro (для digital signatures)

1. Відкрити PDF у Adobe Acrobat Pro
2. Panel «Signatures» → переглянути всі цифрові підписи
3. Подивитися деталі підпису: підписант, дата, статус валідності, certificate authority
4. Перейти у «Properties → Description» для метаданих документа
5. Подивитися «Revision History» — список усіх версій документа

Через ExifTool (для метаданих)

1. exiftool document.pdf — повний дамп метаданих
2. Перевірити Creator vs Producer — чи збігаються
3. Перевірити CreationDate vs ModDate — чи дата модифікації не пізніша за заявлену дату документа
4. Експорт у JSON: exiftool -json document.pdf > metadata.json

Типові кейси для адвоката

🎯 Кейс 1: Виявлення підробленої дати договору

Опонент пред’явив договір датований 15 січня 2024 року. Через ExifTool: метадані PDF показують «CreationDate: 2024-05-10» і «Producer: Microsoft Word 365 (March 2024 update)» — продукт, який вийшов після заявленої дати договору. Підстава для позову про визнання договору недійсним (ст. 215 ЦК) і подання заяви про підробку (ст. 358 КК).

🎯 Кейс 2: Перевірка автентичності цифрового підпису

У спорі є PDF з нібито цифровим підписом контрагента. Через Adobe Acrobat Pro: панель Signatures показує «Signature is invalid: document has been modified since signing» — документ було змінено після підписання. Підстава для відхилення доказу і подання заяви про шахрайство (ст. 190 КК).

🎯 Кейс 3: Виявлення маларе в нібито «офіційному» PDF

Клієнт отримав PDF від нібито «банку» з запитом на повторну авторизацію. Через PDFiD: знаходимо /JavaScript count: 3, /OpenAction: 1, /URI: 5 з підозрілими доменами. Через PDF-Parser: виявляємо embedded JavaScript для крадіжки credentials. Підстава для звернення до кіберполіції (ст. 361 КК — несанкціоноване втручання).

🎯 Кейс 4: Спадкова справа — підроблений заповіт

Опонент пред’явив скан-копію «оригінального» заповіту. Через ExifTool + PDF-Parser: метадані показують, що PDF створений через 6 місяців після смерті спадкодавця з використанням сучасної версії Adobe Acrobat. Підстава для експертно-технічної експертизи (ст. 242 КПК) і визнання заповіту недійсним (ст. 1257 ЦК).

Сильні і слабкі сторони

✅ Сильні:

• PDFiD і PDF-Parser — повністю безкоштовні, open-source, стандарт у кібербезпеці
• Adobe Acrobat Pro — найкращий для digital signatures і revision history
• Cross-reference table — НЕ можна очистити; завжди показує справжню історію
• Інтеграція з ExifTool — для метаданих
• Виявлення malicious PDF — захист від фішингу
• Cross-platform для open-source інструментів
• JSON-експорт для всіх інструментів
• Регулярні оновлення під нові техніки підробки

⚠️ Слабкі:

• PDFiD і PDF-Parser — командний рядок, складно для нетехнічних
• Adobe Acrobat Pro — платний (від $19.99/міс)
• Метадані можна підробити через ExifTool або re-saving у різних інструментах
• Cross-reference table — потрібно вміти читати hex-дамп
• Digital signatures — не всі підписи юридично визнані в Україні (потрібен КЕП за українським законодавством)
• Старі PDF (1.x, 2.x) можуть бути неточними у метаданих
• Інтерфейс переважно англійською
• Privacy concern при веб-сервісах — файл завантажується на сервер

Як використовувати в суді / для адвокатського запиту

📋 Як доказ у суді:

• JSON-звіт PDFiD/PDF-Parser — приймається як технічний доказ
• Скриншот Adobe Acrobat Pro з digital signature — для перевірки підпису
• Для остаточного підтвердження — обов’язкова експертно-технічна експертиза (ст. 102 ЦПК, ст. 84 КПК)
• Cross-reference table — найнадійніший доказ модифікацій
• ⚠️ Метадані можна підробити — для критичних доказів обов’язково експертна перевірка

📋 Адвокатський запит (ст. 24 Закону «Про адвокатуру»):

• На основі результатів — запит до МВС (НДЦ — Науково-дослідний центр експертизи)
• Запит про призначення комп’ютерно-технічної експертизи (ст. 242 КПК)
• Запит до КНДІСЕ (Київський НДІ судових експертиз) для перевірки цифрових підписів
• Запит до АЦСК ІДД ДПС для перевірки КЕП (кваліфікованого електронного підпису)

📋 Юридичні підстави:

• Закон «Про електронні довірчі послуги» (Україна) — для КЕП і цифрових підписів
• Закон «Про судову експертизу» (Україна)
• Стаття 242 КПК — призначення експертизи
• Стаття 102 ЦПК — види доказів (висновки експертів)
• Стаття 84 КПК — доказування у кримінальному провадженні
• Стаття 215 ЦК — визнання правочину недійсним
• Стаття 1257 ЦК — заповіт
• Стаття 358 КК — підробка документів
• Стаття 190 КК — шахрайство
• Стаття 361 КК — несанкціоноване втручання в роботу комп’ютерів
• Стаття 24 Закону «Про адвокатуру»

⚠️ Особливо важливо для українських юристів: для юридично значущих PDF-документів в Україні — обов’язково використовуйте КЕП (кваліфікований електронний підпис) через АЦСК ІДД ДПС або інші акредитовані центри сертифікації. Звичайні цифрові підписи (Adobe Sign, DocuSign) — не мають юридичної сили в Україні без додаткової легалізації.

Альтернативи у каталозі

• ExifTool — для базових метаданих PDF (підтримує PDF format)
• FotoForensics — для базової перевірки метаданих
• Forensically (29a.ch) — для зображень у PDF

Інші інструменти для PDF (поза каталогом):

• peepdf — Python-tool для аналізу PDF (alternative to PDF-Parser)
• origami (Ruby) — для аналізу і модифікації PDF
• PDFStreamDumper — для Windows
• REMnux — Linux distro для malware analysis (включає PDF tools)
• pdfminer — для витягу тексту з PDF
• VirusTotal — для перевірки PDF на malware (важливо: завантажений PDF стає публічним!)

Корисні посилання

🔗 blog.didierstevens.com/programs/pdf-tools — PDFiD і PDF-Parser
🔗 exiftool.org — ExifTool для PDF
🔗 adobe.com/acrobat/acrobat-pro.html — Adobe Acrobat Pro
🔗 acsk.privatbank.ua — АЦСК ПриватБанк (для КЕП)
🔗 iit.com.ua — АЦСК Інститут інформаційних технологій
🔗 uniqsoft.uikm.com.ua — АЦСК Україна
🔗 virustotal.com — VirusTotal (для перевірки malware)

← Повернутися до каталогу