Привет!

Пришло ко мне письмо с темой "Прекратите спам".
В нем вложенный ворд файл (.doc) видать шифровальщика заслали ...
но я скачал, весь в ожидании, что explorer распознает активное содержимое и запустит меня не спросив ... вроде скачал и вправду doc.
Фар умеет потрошить doc-ки, значит копаю внутренности - там ссылка на макрос, макрос vba проект запуск embedded вложенного объекта, сам объект то ли base64 то ли за ЮЮчен есть короче в контейнере поток похожий ...
но все это так на взгляд. Хотелось бы уметь потрошить профессионально, какие есть способы или инструменты?

(0) На виртуалке с отключенным сетевым интерфейсом поковырять не предлагать?

(1) Это можно, но как ... смело открывать в ворде?

(2) А что то может случиться?

(3) Мне надо программу увидеть, а не результат её работы

как я радуюсь что перевел (всего 2 исключения) контору на libreoffice... ))

(5) Либреофис умеет замечательно работать с макросами )

(0) Открыть в ворде с отключенными стартами макросов. Открыть редактор макросов и посмотреть, что за бяка.

можно подключиться по COM... и потроши сколько хочешь...

а еще лучше по ADO там точно макросы в пролете, я так аксесс с активной защитой  потрошил

В ворде настроить безопасность на запрещение макросов. И открывать

(7)(9) а разве с отключёнными макросами можно сами макросы смотреть и отлаживать?

(10) отлаживать нельзя. посмотреть можно

(0) Да в общем ты уже посмотрел. Base64 спокойно сохраняешь как исполняемый файл и смотри его как хочешь дальше. Недавно такая же ерунда приходила в явовском скрипте. Все было интересно как они шифруют на яве. Оказалось просто в скрипт вложен бинарник. Задача скрипта только вытащить этот бинарник и запустить его. Примитивно все... даже не интересно.

А разве Макросы нельзя защитить паролем? :(

На прошлой работе секретарь схватил какую-то заразу, которая по локалке распространилась. Открыл письмо "Привет, здесь мои фотки", в котором был doc-файл.
Хвалёный и любимый админом eset даже не мяукнул. Зараза обнаружилась по факту создания во всех папаках программы со значком папки "start me.exe". хе хе.

(14) в шею такого админа, у которого юзеры под админскими правами сидят

(13) Можно, но эти пароли снимаются меньше чем за минуту.