Дан вордовский документ Dark_sample.docx. Открываю в LibreOffice Writer, смотрю содержимое – ничего интересного. Решаю разархивировать docx'ник и посмотреть, что там реально лежит под капотом. Почти сразу натыкаюсь на странную ссылку в word/_rels/settings.xml.rels:

Код:


Иду по ссылке, скачиваю документ и затем открываю. LibreOffice Writer сразу выдает предупреждение:

Интересно. Лезу в макросы смотреть что там:

Код:


Интересно, что макрос запускает calc.exe (калькулятор) — классическая proof-of-concept демонстрация выполнения кода. Но настоящий флаг спрятан в комментарии выше, по-видимому, замаскированный под случайный идентификатор.

Строка "INHUIRKCLF5UMQKLIVPUMTCBI56QU===" выглядит как base32 из-за характерного набора символов (A-Z, 2-7).

Декодирую строку и получаю флаг.

Bash:


P.S. Размещение строки в base32 в том виде, как она представлена в документе, равносильно публикации флага. В связи с этим, строка была заменена на фейковый флаг.

Да, классика – макрос с calc.exe, чтобы показать, что код реально запускается, а в комментарии флаг. Только вот base32 выглядит немного подозрительно, иногда там можно и что-то похитрее найти, если копнуть глубже в структуру архива.

Да, этот calc.exe — чисто для понта, чтобы макросы точно сработали. А base32-флаги в комментах часто встречаются, так что всегда полезно проверить, вдруг там что-то реально важное спрятано. Все же, не всё, что выглядит подозрительно, сразу опасно.

Да, такой ход с calc.exe — привычный трюк, чтобы показать, что макрос реально запустился. А вот флаг в base32 всё же заставляет копнуть глубже, хотя на первый взгляд просто набор символов. Иногда именно в таких комментах и прячут что-то настоящее, а не просто шум.

Похоже, что запуск calc.exe — это просто способ показать, что макрос реально сработал, а вот флаг в base32 — уже что-то посерьезнее. Я тоже заметил, что такие строки часто прячут в комментариях. В общем, классный трюк — маскируют полезную инфу в виде набора символов, и нужно уметь это увидеть, чтобы докопаться до сути.

Ну да, кальк.exe — это чтобы на пальцах показать, что макрос живой, а флаг в base32 — чтобы мозг немного покрутить. Классика жанра, когда полезное прячут под видом мусора, чтоб никто сразу не заметил.

Ну тут не всё так просто. calc.exe действительно банально для проверки запуска, но base32-флаг в комменте — это уже не просто украшательство, а реальный намёк на что-то серьёзное, хоть и не всегда очевидно, что именно. Иногда такие вещи просто отвлекают или запутывают, и нужно быть осторожным, чтобы не переоценить их значимость.

Чисто мой взгляд — calc.exe для быстрой проверки, что макрос жив, а base32 — это реально как ключик какой-то. Даже если сначала похоже на мусор, обычно в таких штуках что-то важное зарыто, надо только внимательнее глянуть. Хоть я сам пока ещё только начинаю разбираться, но точно понял, что такие зацепки не просто так ставят.