RTF-Cleaner

CVE-2017-0199 ドキュメントを対象とした、URL を静的に検出する RTF 難読化解除ツール。

このツールを使用すると、難読化された RTF ドキュメント内の URL を静的に検出できます。

使い方: .\rtfCleanerUniversal.ps1 path-to-file

例: .\rtfCleanerUniversal.ps1 'C:\Users\yams\Downloads\invoiceForYams.doc'

組み込みの正規表現で何も見つからない場合は、rtf ファイル内で見つけたもの、すなわち pntxtb、lchars などを入力してください。

これらを自動的に見つけて処理する機能を組み込む予定です。現時点では手動です。

これは、クリーンアップが必要な {\parameters} を含む任意のファイルタイプで動作します。

自己責任で使用してください！ Windows および PowerShell for MacOS でテスト済みです。

仕組み:

1. 16進コードを分割するすべてのパラメータを削除します（組み込みおよびカスタムのもの）

2. 関連する16進数を読み取り可能な文字列に変換します

3. Null文字を削除します

4. URL を検出し、HTA への URL を提供します

URL が見つかった場合の出力:

PS /Users/yammer/Documents/PowerShell/RTF-Cleaner> ./rtfCleanerUniversal.ps1 ../RTFs/invoice.doc

Analyzing: ../RTFs/invoice.doc

180 of {\lchars\s*([^}]?)\s} Found!

URL Found!

https[:]//malicious[.]site/fake/directory/payload[.]hta