Hace unos días una de nuestras usuarias creó un ticket con un correo que
le parecía malicioso (una muestra más de que la concienciación en
seguridad cuesta de realizar, pero que a largo plazo termina rindiendo
beneficios).
La usuaria nos mandó un fichero con extensión .msg (el resultado de
"Guardar Como..." en Outlook). Para abrirlo en Ubuntu lo más sencillo es
emplear el
script en Perl msgconvert.pl, que nos lo convierte a MIME (un formato mucho más estándar y manejable).
Además, el correo trae adjunto denominado
"Invoice_4605916.pdf".
Suena raro, ¿verdad?. Pues vamos a extraer ese PDF del fichero en
formato MIME para ver qué pinta tiene. Si repasamos un poco el estándar
MIME recordaremos que el formato de codificación es base64, así que es
tan sencillo como copiar el texto entero desde el principio hasta el
final del adjunto (no olvidéis los símbolos "=" si los hubiera, que son
el padding de base64) , pegarlo a un fichero de texto, y desde una línea
de comandos ejecutar:
base64 -d adjunto.mime > adjunto.pdf
El resultado es un fichero PDF de 52Kb, que abierto en Ubuntu nos muestra una pantalla en blanco.
Recuerda: nunca abráis estos ficheros en una máquina Windows a la
que le tengáis cariño, usad siempre una máquina virtual o un equipo que
pueda ser formateado sin problemas.
Es un buen momento para empezar a sacar la artillería pesada, por lo que llamamos a nuestro analizador de PDF favorito,
peepdf, (!Thx ,
@EternalTodo!), en modo iterativo, ignorando los errores, e indicándole que parsee de forma laxa para detectar objetos malformados.
Continuar leyendo en fuente original Security Art Work I, II y III
