ELEGANTBOUNCER

ELEGANTBOUNCER es una herramienta de detección de exploits móviles basados en archivos.

Emplea un enfoque innovador para la identificación avanzada de amenazas basadas en archivos, eliminando la necesidad de muestras in-the-wild y superando a los métodos tradicionales basados en expresiones regulares o IOC. Actualmente, se centra principalmente en la identificación de vulnerabilidades móviles como FORCEDENTRY (CVE-2021-30860), BLASTPASS (CVE-2023-4863, CVE-2023-41064) y TRIANGULATION (CVE-2023-41990).

Tabla de soporte

Nombre de la amenaza	CVEs	Compatible
FORCEDENTRY	CVE-2021-30860	✅
BLASTPASS	CVE-2023-4863, CVE-2023-41064	✅
TRIANGULATION	CVE-2023-41990	✅
CVE-2025-43300	CVE-2025-43300	✅

Aprende más

• FORCEDENTRY
• BLASTPASS

Interfaz de usuario de terminal

El modo TUI proporciona una visualización en tiempo real de operaciones de escaneo paralelo, mostrando todos los hilos de trabajo activos simultáneamente. Actívalo con la bandera --tui al escanear directorios.

Primeros pasos

elegant-bouncer v0.2
ELEGANTBOUNCER Detection Tool
Detection tool for file-based mobile exploits.

A utility designed to detect the presence of known mobile APTs in commonly distributed files.

Usage: elegant-bouncer [OPTIONS] <Input path>

Arguments:
  <Input path>
          Path to the input file or folder

Options:
  -v, --verbose
          Print extra output while parsing

  -s, --scan
          Assess a given file or folder, checking for known vulnerabilities

  -c, --create-forcedentry
          Create a FORCEDENTRY-like PDF

  -r, --recursive
          Recursively scan subfolders

  -m, --messaging
          Scan messaging app databases for attachments (iOS backup format)

  --ios-extract
          Extract/reconstruct iOS backup to readable folder structure

  -o, --output <OUTPUT>
          Output directory for iOS backup extraction

  -f, --force
          Force overwrite of output directory if not empty

  -e, --extensions <EXTENSIONS>
          File extensions to scan (comma-separated, e.g., "pdf,webp,ttf")
          Default: pdf,gif,webp,jpg,jpeg,png,tif,tiff,dng,ttf,otf

  -h, --help
          Print help information (use `-h` for a summary)

  -V, --version
          Print version information

Escaneo de archivos y carpetas

Escaneo de un solo archivo

Usa --scan para evaluar un solo archivo en busca de vulnerabilidades conocidas:

elegantbouncer --scan suspicious_file.pdf

Escaneo de carpetas

Escanea todos los archivos compatibles en un directorio:

elegantbouncer --scan /path/to/folder

Escaneo recursivo de carpetas

Usa la bandera -r para escanear recursivamente todos los subdirectorios:

elegantbouncer --scan /path/to/folder -r

Extensiones de archivo personalizadas

Especifica qué tipos de archivo escanear con la bandera -e:

# Scan only PDF and DNG files
elegantbouncer --scan /path/to/folder -e pdf,dng

# Scan only image files recursively
elegantbouncer --scan /path/to/folder -r -e jpg,jpeg,png,webp,gif

Extensiones predeterminadas

De forma predeterminada, la herramienta escanea archivos con estas extensiones:

• Documentos: pdf
• Imágenes: gif, webp, jpg, jpeg, png, tif, tiff, dng
• Fuentes: ttf, otf

Ejemplo de salida

Al escanear un directorio, la herramienta proporciona:

• Actualizaciones de progreso en tiempo real
• Notificaciones inmediatas de detección de amenazas
• Tabla resumen con todos los tipos de vulnerabilidad
• Tabla detallada de archivos infectados con:
  • Ruta del archivo
  • Nombre de la amenaza
  • IDs de CVE asociados

[+] Scanning directory: /path/to/documents
[+] Recursive mode enabled
[+] Extensions: pdf, gif, webp, jpg, jpeg, png, tif, tiff, dng, ttf, otf

[1] Scanning: /path/to/documents/invoice.pdf
[2] Scanning: /path/to/documents/photo.jpg
[3] Scanning: /path/to/documents/malicious.webp
  └─ THREAT found: BLASTPASS
[4] Scanning: /path/to/documents/report.pdf
  └─ THREAT found: FORCEDENTRY

[+] Scanned 4 files

[+] Summary Results:
╭────────────────┬───────────────────────────────┬──────────────────────────────────────────────────────────────────────────┬──────────╮
│ name           │ cve_ids                       │ description                                                              │ detected │
├────────────────┼───────────────────────────────┼──────────────────────────────────────────────────────────────────────────┼──────────┤
│ FORCEDENTRY    │ CVE-2021-30860                │ Malicious JBIG2 PDF shared over iMessage                                 │ Yes      │
│ BLASTPASS      │ CVE-2023-4863, CVE-2023-41064 │ Malicious WebP presumably shared over iMessage and other mediums         │ Yes      │
│ TRIANGULATION  │ CVE-2023-41990                │ Maliciously crafted TrueType font embedded in PDFs shared over iMessage  │ No       │
│ CVE-2025-43300 │ CVE-2025-43300                │ Malicious DNG with JPEG Lossless compression exploiting RawCamera.bundle │ No       │
╰────────────────┴───────────────────────────────┴──────────────────────────────────────────────────────────────────────────┴──────────╯

[!] Infected Files Details:
╭────────────────────────────────┬─────────────┬───────────────────────────────╮
│ path                           │ threat_name │ cve_ids                       │
├────────────────────────────────┼─────────────┼───────────────────────────────┤
│ /path/to/documents/report.pdf  │ FORCEDENTRY │ CVE-2021-30860                │
│ /path/to/documents/malicious.webp │ BLASTPASS   │ CVE-2023-4863, CVE-2023-41064 │
╰────────────────────────────────┴─────────────┴───────────────────────────────╯

Análisis de copias de seguridad de iOS

Extraer la estructura de la copia de seguridad de iOS

Reconstruye una copia de seguridad de iOS para convertirla en una estructura de carpetas legible:

# Extract backup to default location (creates _reconstructed folder)
elegantbouncer --ios-extract /path/to/ios/backup

# Extract to specific output directory
elegantbouncer --ios-extract /path/to/ios/backup -o /path/to/output

# Force overwrite if output directory exists
elegantbouncer --ios-extract /path/to/ios/backup -o /path/to/output --force

Escanear archivos adjuntos de aplicaciones de mensajería

Escanea la copia de seguridad de iOS en busca de archivos adjuntos maliciosos en aplicaciones de mensajería:

# Scan messaging databases (iMessage, WhatsApp, Viber, Signal, Telegram)
elegantbouncer --scan --messaging /path/to/ios/backup

# Combine with extraction for complete analysis
elegantbouncer --ios-extract /path/to/ios/backup -o /tmp/extracted
elegantbouncer --scan --messaging /tmp/extracted