ELEGANTBOUNCER

ELEGANTBOUNCER è uno strumento di rilevamento per exploit mobili basati su file.

Adotta un approccio innovativo per l'identificazione avanzata delle minacce basate su file, eliminando la necessità di campioni reali e superando i metodi tradizionali basati su espressioni regolari o IOC. Attualmente, si concentra principalmente sull'identificazione di vulnerabilità mobili come FORCEDENTRY (CVE-2021-30860), BLASTPASS (CVE-2023-4863, CVE-2023-41064) e TRIANGULATION (CVE-2023-41990).

Tabella di supporto

Nome minaccia	CVE	Supportato
FORCEDENTRY	CVE-2021-30860	✅
BLASTPASS	CVE-2023-4863, CVE-2023-41064	✅
TRIANGULATION	CVE-2023-41990	✅
CVE-2025-43300	CVE-2025-43300	✅

Scopri di più

• FORCEDENTRY
• BLASTPASS

Interfaccia Utente Terminale

La modalità TUI fornisce una visualizzazione in tempo reale delle operazioni di scansione parallela, mostrando simultaneamente tutti i thread di lavoro attivi. Abilitala con il flag --tui durante la scansione delle directory.

Per iniziare

elegant-bouncer v0.2
ELEGANTBOUNCER Detection Tool
Detection tool for file-based mobile exploits.

A utility designed to detect the presence of known mobile APTs in commonly distributed files.

Usage: elegant-bouncer [OPTIONS] <Input path>

Arguments:
  <Input path>
          Path to the input file or folder

Options:
  -v, --verbose
          Print extra output while parsing

  -s, --scan
          Assess a given file or folder, checking for known vulnerabilities

  -c, --create-forcedentry
          Create a FORCEDENTRY-like PDF

  -r, --recursive
          Recursively scan subfolders

  -m, --messaging
          Scan messaging app databases for attachments (iOS backup format)

  --ios-extract
          Extract/reconstruct iOS backup to readable folder structure

  -o, --output <OUTPUT>
          Output directory for iOS backup extraction

  -f, --force
          Force overwrite of output directory if not empty

  -e, --extensions <EXTENSIONS>
          File extensions to scan (comma-separated, e.g., "pdf,webp,ttf")
          Default: pdf,gif,webp,jpg,jpeg,png,tif,tiff,dng,ttf,otf

  -h, --help
          Print help information (use `-h` for a summary)

  -V, --version
          Print version information

Scansione di File e Cartelle

Scansione di un Singolo File

Usa --scan per valutare un singolo file per vulnerabilità note:

elegantbouncer --scan suspicious_file.pdf

Scansione di una Cartella

Scansiona tutti i file supportati in una directory:

elegantbouncer --scan /path/to/folder

Scansione Ricorsiva di Cartelle

Usa il flag -r per scansionare ricorsivamente tutte le sottodirectory:

elegantbouncer --scan /path/to/folder -r

Estensioni File Personalizzate

Specifica quali tipi di file scansionare usando il flag -e:

# Scan only PDF and DNG files
elegantbouncer --scan /path/to/folder -e pdf,dng

# Scan only image files recursively
elegantbouncer --scan /path/to/folder -r -e jpg,jpeg,png,webp,gif

Estensioni Predefinite

Per impostazione predefinita, lo strumento scansiona i file con queste estensioni:

• Documenti: pdf
• Immagini: gif, webp, jpg, jpeg, png, tif, tiff, dng
• Font: ttf, otf

Esempio di Output

Quando si scansiona una directory, lo strumento fornisce:

• Aggiornamenti di avanzamento in tempo reale
• Notifiche immediate di rilevamento delle minacce
• Tabella riepilogativa con tutti i tipi di vulnerabilità
• Tabella dettagliata dei file infetti con:
  • Percorso del file
  • Nome della minaccia
  • ID CVE associati

[+] Scanning directory: /path/to/documents
[+] Recursive mode enabled
[+] Extensions: pdf, gif, webp, jpg, jpeg, png, tif, tiff, dng, ttf, otf

[1] Scanning: /path/to/documents/invoice.pdf
[2] Scanning: /path/to/documents/photo.jpg
[3] Scanning: /path/to/documents/malicious.webp
  └─ THREAT found: BLASTPASS
[4] Scanning: /path/to/documents/report.pdf
  └─ THREAT found: FORCEDENTRY

[+] Scanned 4 files

[+] Summary Results:
╭────────────────┬───────────────────────────────┬──────────────────────────────────────────────────────────────────────────┬──────────╮
│ name           │ cve_ids                       │ description                                                              │ detected │
├────────────────┼───────────────────────────────┼──────────────────────────────────────────────────────────────────────────┼──────────┤
│ FORCEDENTRY    │ CVE-2021-30860                │ Malicious JBIG2 PDF shared over iMessage                                 │ Yes      │
│ BLASTPASS      │ CVE-2023-4863, CVE-2023-41064 │ Malicious WebP presumably shared over iMessage and other mediums         │ Yes      │
│ TRIANGULATION  │ CVE-2023-41990                │ Maliciously crafted TrueType font embedded in PDFs shared over iMessage  │ No       │
│ CVE-2025-43300 │ CVE-2025-43300                │ Malicious DNG with JPEG Lossless compression exploiting RawCamera.bundle │ No       │
╰────────────────┴───────────────────────────────┴──────────────────────────────────────────────────────────────────────────┴──────────╯

[!] Infected Files Details:
╭────────────────────────────────┬─────────────┬───────────────────────────────╮
│ path                           │ threat_name │ cve_ids                       │
├────────────────────────────────┼─────────────┼───────────────────────────────┤
│ /path/to/documents/report.pdf  │ FORCEDENTRY │ CVE-2021-30860                │
│ /path/to/documents/malicious.webp │ BLASTPASS   │ CVE-2023-4863, CVE-2023-41064 │
╰────────────────────────────────┴─────────────┴───────────────────────────────╯

Analisi dei Backup iOS

Estrazione della Struttura del Backup iOS

Ricostruisci un backup iOS nella sua struttura di cartelle leggibile:

# Extract backup to default location (creates _reconstructed folder)
elegantbouncer --ios-extract /path/to/ios/backup

# Extract to specific output directory
elegantbouncer --ios-extract /path/to/ios/backup -o /path/to/output

# Force overwrite if output directory exists
elegantbouncer --ios-extract /path/to/ios/backup -o /path/to/output --force

Scansione degli Allegati delle App di Messaggistica

Scansiona il backup iOS per individuare allegati dannosi nelle app di messaggistica:

# Scan messaging databases (iMessage, WhatsApp, Viber, Signal, Telegram)
elegantbouncer --scan --messaging /path/to/ios/backup

# Combine with extraction for complete analysis
elegantbouncer --ios-extract /path/to/ios/backup -o /tmp/extracted
elegantbouncer --scan --messaging /tmp/extracted

Questa funzionalità rileva minacce negli allegati provenienti da:

• iMessage - Allegati del database SMS/MMS
• WhatsApp - File multimediali dalle chat
• Viber - File e media condivisi
• Signal - Cartella degli allegati (il database è crittografato)
• Telegram - File multimediali in cache

create-forcedentry

Usa --create-forcedentry per generare da zero un PDF progettato per sfruttare CVE-2021-30860. Lavori in corso.

Nota: I campioni già pronti si trovano nella directory samples/.