msuiche/elegant-bouncerELEGANTBOUNCER は、ファイルベースのモバイルエクスプロイトを検出するツールです。
ELEGANTBOUNCER は、ファイルベースのモバイルエクスプロイトを検出するためのツールです。
高度なファイルベースの脅威識別のために革新的なアプローチを採用しており、実際に流通しているサンプルを必要とせず、正規表現やIOCに基づく従来の手法を上回る性能を発揮します。現在は主に、FORCEDENTRY (CVE-2021-30860)、BLASTPASS (CVE-2023-4863、CVE-2023-41064)、TRIANGULATION (CVE-2023-41990) などのモバイル脆弱性の識別を対象としています。
| 脅威名 | CVEs | 対応 |
|---|---|---|
| FORCEDENTRY | CVE-2021-30860 | ✅ |
| BLASTPASS | CVE-2023-4863, CVE-2023-41064 | ✅ |
| TRIANGULATION | CVE-2023-41990 | ✅ |
| CVE-2025-43300 | CVE-2025-43300 | ✅ |
TUIモードは、並列スキャン操作のリアルタイム可視化を提供し、すべてのアクティブなワーカースレッドを同時に表示します。ディレクトリをスキャンするときは、--tui フラグを使用して有効にできます。
elegant-bouncer v0.2
ELEGANTBOUNCER Detection Tool
Detection tool for file-based mobile exploits.
A utility designed to detect the presence of known mobile APTs in commonly distributed files.
Usage: elegant-bouncer [OPTIONS] <Input path>
Arguments:
<Input path>
Path to the input file or folder
Options:
-v, --verbose
Print extra output while parsing
-s, --scan
Assess a given file or folder, checking for known vulnerabilities
-c, --create-forcedentry
Create a FORCEDENTRY-like PDF
-r, --recursive
Recursively scan subfolders
-m, --messaging
Scan messaging app databases for attachments (iOS backup format)
--ios-extract
Extract/reconstruct iOS backup to readable folder structure
-o, --output <OUTPUT>
Output directory for iOS backup extraction
-f, --force
Force overwrite of output directory if not empty
-e, --extensions <EXTENSIONS>
File extensions to scan (comma-separated, e.g., "pdf,webp,ttf")
Default: pdf,gif,webp,jpg,jpeg,png,tif,tiff,dng,ttf,otf
-h, --help
Print help information (use `-h` for a summary)
-V, --version
Print version information
既知の脆弱性がないか単一のファイルを評価するには --scan を使用します:
elegantbouncer --scan suspicious_file.pdf
ディレクトリ内のサポート対象ファイルをすべてスキャンします:
elegantbouncer --scan /path/to/folder
-r フラグを使用して、すべてのサブディレクトリを再帰的にスキャンします:
elegantbouncer --scan /path/to/folder -r
-e フラグを使用して、スキャンするファイルタイプを指定します:
# Scan only PDF and DNG files
elegantbouncer --scan /path/to/folder -e pdf,dng
# Scan only image files recursively
elegantbouncer --scan /path/to/folder -r -e jpg,jpeg,png,webp,gif
デフォルトでは、このツールは次の拡張子のファイルをスキャンします:
ディレクトリをスキャンすると、このツールは次の情報を提供します:
[+] Scanning directory: /path/to/documents
[+] Recursive mode enabled
[+] Extensions: pdf, gif, webp, jpg, jpeg, png, tif, tiff, dng, ttf, otf
[1] Scanning: /path/to/documents/invoice.pdf
[2] Scanning: /path/to/documents/photo.jpg
[3] Scanning: /path/to/documents/malicious.webp
└─ THREAT found: BLASTPASS
[4] Scanning: /path/to/documents/report.pdf
└─ THREAT found: FORCEDENTRY
[+] Scanned 4 files
[+] Summary Results:
╭────────────────┬───────────────────────────────┬──────────────────────────────────────────────────────────────────────────┬──────────╮
│ name │ cve_ids │ description │ detected │
├────────────────┼───────────────────────────────┼──────────────────────────────────────────────────────────────────────────┼──────────┤
│ FORCEDENTRY │ CVE-2021-30860 │ Malicious JBIG2 PDF shared over iMessage │ Yes │
│ BLASTPASS │ CVE-2023-4863, CVE-2023-41064 │ Malicious WebP presumably shared over iMessage and other mediums │ Yes │
│ TRIANGULATION │ CVE-2023-41990 │ Maliciously crafted TrueType font embedded in PDFs shared over iMessage │ No │
│ CVE-2025-43300 │ CVE-2025-43300 │ Malicious DNG with JPEG Lossless compression exploiting RawCamera.bundle │ No │
╰────────────────┴───────────────────────────────┴──────────────────────────────────────────────────────────────────────────┴──────────╯
[!] Infected Files Details:
╭────────────────────────────────┬─────────────┬───────────────────────────────╮
│ path │ threat_name │ cve_ids │
├────────────────────────────────┼─────────────┼───────────────────────────────┤
│ /path/to/documents/report.pdf │ FORCEDENTRY │ CVE-2021-30860 │
│ /path/to/documents/malicious.webp │ BLASTPASS │ CVE-2023-4863, CVE-2023-41064 │
╰────────────────────────────────┴─────────────┴───────────────────────────────╯
iOSバックアップを読み取り可能なフォルダー構造に再構築します:
# Extract backup to default location (creates _reconstructed folder)
elegantbouncer --ios-extract /path/to/ios/backup
# Extract to specific output directory
elegantbouncer --ios-extract /path/to/ios/backup -o /path/to/output
# Force overwrite if output directory exists
elegantbouncer --ios-extract /path/to/ios/backup -o /path/to/output --force
iOSバックアップをスキャンして、メッセージングアプリ内の悪意のある添付ファイルを探します:
# Scan messaging databases (iMessage, WhatsApp, Viber, Signal, Telegram)
elegantbouncer --scan --messaging /path/to/ios/backup
# Combine with extraction for complete analysis
elegantbouncer --ios-extract /path/to/ios/backup -o /tmp/extracted
elegantbouncer --scan --messaging /tmp/extracted
この機能は、次のアプリの添付ファイル内の脅威を検出します:
--create-forcedentry を使用すると、CVE-2021-30860 を悪用するように設計されたPDFをゼロから生成できます。現在開発中です。
注: 事前作成済みのサンプルは samples/ ディレクトリにあります。
自分が対象になる可能性があると思われる場合は、ロックダウンモード を使用して攻撃対象領域を減らしてください。