RTF-Cleaner

CVE-2017-0199 문서에서 URL을 정적으로 찾기 위한 RTF 난독화 해제 도구입니다.

이 도구를 사용하여 난독화된 RTF 문서에서 URL을 정적으로 찾을 수 있습니다.

Usage: .\rtfCleanerUniversal.ps1 path-to-file

Example: .\rtfCleanerUniversal.ps1 'C:\Users\yams\Downloads\invoiceForYams.doc'

내장된 정규식(regexer)이 아무것도 찾지 못하면 RTF 파일에서 찾은 내용(예: pntxtb, lchars 등)을 직접 입력하세요.

이러한 항목을 자동으로 찾아 처리하는 기능을 추가하려고 계획 중입니다. 지금은 수동으로 수행해야 합니다.

이 도구는 정리할 {\parameters}를 포함하는 모든 파일 형식에서 작동합니다.

사용에 따른 책임은 본인에게 있습니다! Windows 및 MacOS용 PowerShell에서 테스트되었습니다.

작동 방식:

1. 16진수 코드를 분리하는 모든 매개변수를 제거합니다(내장 및 사용자 정의 매개변수 모두).

2. 관련 16진수를 읽을 수 있는 문자열로 변환합니다.

3. Null 문자를 제거합니다.

4. URL을 찾아 HTA에 제공합니다.

URL이 발견된 경우 출력:

PS /Users/yammer/Documents/PowerShell/RTF-Cleaner> ./rtfCleanerUniversal.ps1 ../RTFs/invoice.doc

Analyzing: ../RTFs/invoice.doc

180 of {\lchars\s*([^}]?)\s} Found!

URL Found!

https[:]//malicious[.]site/fake/directory/payload[.]hta