> собственно, оно даже не pdf как таковой подпихивает, object с нужным content-type,

Ну да. Главное чтобы левый код выполнился.

> потом ловит активацию PDF.js (вот тут без PDF.js пункт 2 и обламывается),

На самом деле он должен бы обломаться раньше, из-за uBlock, который 99% JS просто давит еще на подлете. Но вообще - довольно стремный баг. Так, глядя на то какие экспонаты раздают.

> выполняли PDF.js в правильно созданой песочнице…

Ну для начала "выполнять пдф" звучит довольно странно.

> разве может что‐нибудь пойти не так?»

Действительно. Валидация входных данных? Разделение привилегий? Гадские хипстеры не слышали. Они вообще привыкли что рантайм - безопасный. И подумает за них. Вон тут Xasd меня опять лечить пытается.

> я не разбирался детально, но Суть(tm) эксплойта именно в этом.

Как я понял - он вообще по вилдкардам ищет интересные файлы по всей ФС и гребет лопатой на свой сервак все что минимально интересно. Ну там логины и пароли от ряда программ, а также просто файлы с типовыми названиями от Капитана Очевидность.

Таргетируется оно в основном на технарей и разработчиков, админов, кулхаксоров, кардеров и прочая. Ну то-есть вон та штука на наге - явно не любителями котят интересуется. И даже не их аккаунтами вконтактика и фэйсбучика.

> и зачем‐то доступным API на смену location.

По большому счету имхо там факапнуто вообще все. ПДФ в массе своей "пассивные" данные. Зачем их преобразоывать в код и выполнять - я вообще не понял. Еще менее я понял зачем все это должно быть на JS и в браузере. И еще менее понятно зачем пдфнику уметь вообще хоть что-то кроме как отображаться на экран. В следующий раз мозилла сопрет у меня все файлы когда я открою JPG, который им припрет в JS перегнать?