CanaryToken / HoneyToken Scanner

Erkennen Sie verdächtige URLs (einschließlich CanaryTokens) in Microsoft Office-Dokumenten und PDFs.

Unterstützte Formate:

• Office Open XML: .docx, .xlsx, .pptx
• .pdf
• .zip (generische Archive)

Warum es dies gibt

CanaryTokens und HoneyTokens (sowie andere Tracking- oder bösartige URLs) werden oft in Dokumente eingebettet, um zu signalisieren, wann eine Datei geöffnet oder eine externe Ressource abgerufen wird. Dieses Tool führt nur eine statische Inspektion durch: Es liest den Dateiinhalt und sucht nach eingebetteten URLs, ohne das Dokument in Office/Acrobat zu öffnen und ohne Netzwerkanfragen zu stellen.

Wie es funktioniert

Office-/Zip-Scanning (DOCX/XLSX/PPTX/ZIP)

• Office-Dokumente sind im Grunde ZIP-Container.
• Der Scanner liest ZIP-Mitglieder direkt aus und sucht nach http://- und https://-URLs.
• Häufige, erwartete Schema-Domains werden ignoriert, um Rauschen zu reduzieren:
  • schemas.openxmlformats.org
  • schemas.microsoft.com
  • purl.org
  • w3.org

PDF-Scanning

Der Scanner sucht nach URLs in:

• Rohe PDF-Bytes (viele PDFs speichern URLs direkt in /URI(...))
• Komprimierte PDF-Streams (stream ... endstream) durch Versuch der Flate/Deflate-Dekomprimierung

Ausgabe

• Wenn verdächtige URLs gefunden werden, gibt das Skript sie aus und meldet die Datei als verdächtig.
• Wenn nichts Interessantes gefunden wird, wird die Datei als normal gemeldet.

Verwendung

Ausführung gegen eine einzelne Datei:

python CanaryTokenScanner.py /pfad/zum/dokument.pdf

Ausführung gegen ein Verzeichnis (rekursiv):

python CanaryTokenScanner.py /pfad/zum/ordner

Beispielausgabe:

URL Found in /path/to/file.docx:
https://example.com/track/abc123

The file /path/to/file.docx is suspicious.

V2: Was sich geändert hat (Leistung + Verbesserungen)

• Keine Extraktion auf die Festplatte mehr: Office/ZIP-Dateien werden im Arbeitsspeicher gescannt, anstatt in ein temporäres Verzeichnis extrahiert zu werden.
• Schnellere Scans: Vermeidet Dateisystem-Overhead und wiederholtes Lesen.
• Bessere PDF-Abdeckung: Erkennt URLs sowohl im rohen PDF-Inhalt als auch in Flate/Deflate-komprimierten Streams.
• Sauberere Ergebnisse: Filtert weiterhin häufige Schema-Domains, um Fehlalarme zu reduzieren.

Hinweise / Einschränkungen

• Dies ist ein heuristischer URL-Detektor. Das Vorhandensein einer URL bedeutet nicht automatisch, dass sie bösartig ist.
• Einige PDFs verwenden Komprimierungs-/Filterkombinationen, die von der einfachen Flate/Deflate-Dekomprimierung nicht abgedeckt werden.
• Verschlüsselte oder stark obfuskierte Dateien können die Erkennungsgenauigkeit verringern.

Skript-Vorführung

Haftungsausschluss

Dieses Skript ist nur für Bildungs- und Sicherheitstestzwecke gedacht. Verwenden Sie es verantwortungsbewusst und in Übereinstimmung mit geltenden Gesetzen und Unternehmensrichtlinien. Der/die Autor(en) übernehmen keine Haftung für Missbrauch oder für Handlungen, die auf der Grundlage der Ausgabe dieses Tools vorgenommen werden.