Didier Stevens automatiza extração em lote de arquivos embutidos em documentos OneNote
O pesquisador Didier Stevens atualizou sua ferramenta onedump.py, usada para extrair arquivos embutidos em documentos OneNote (.one), adicionando uma opção de saída em JSON que permite processar múltiplos arquivos de uma só vez. Combinada com o script myjson-filter.py, a nova funcionalidade grava os objetos extraídos em disco nomeados por hash SHA256, facilitando a triagem de lotes de amostras.
O formato OneNote (.one) se tornou um vetor recorrente de distribuição de malware desde que campanhas de phishing passaram a abusar da capacidade do aplicativo de embutir anexos arbitrários — scripts, executáveis ou atalhos LNK — dentro de uma página aparentemente inofensiva. Como o Microsoft OneNote não exibe esses objetos da mesma forma que o Office tradicional trata macros, analistas de malware e respondentes de incidentes frequentemente precisam extrair manualmente o conteúdo embutido para identificar o payload real antes de prosseguir com a análise.
A ferramenta onedump.py, da suíte de utilitários de Didier Stevens (a mesma linha de ferramentas que inclui oledump.py e outras usadas há anos em análise de documentos maliciosos), já permitia extrair objetos individuais de um arquivo .one por vez. A novidade descrita é o parâmetro --jsonoutput, que serializa o conteúdo extraído em JSON, e o script complementar myjson-filter.py, que consome essa saída e grava cada objeto em disco, nomeando os arquivos pelo hash SHA256 e aplicando a extensão .vir para sinalizar que o conteúdo é potencialmente malicioso e não deve ser executado por acidente.
Tecnicamente, a mudança resolve um problema prático de escala: antes, examinar um lote de dezenas ou centenas de arquivos .one recebidos em uma campanha de phishing exigia rodar a ferramenta repetidamente arquivo por arquivo. Com a saída em JSON é possível encadear onedump.py em pipelines (por exemplo, via shell scripting) para processar diretórios inteiros de uma vez, e o uso do hash como nome de arquivo garante que amostras duplicadas não se sobreponham e que cada objeto extraído mantenha um identificador estável para correlação posterior com feeds de threat intelligence ou sandboxes.
Na prática, esse tipo de automação é relevante para quem faz triagem de malware em volume — SOCs, times de resposta a incidentes e pesquisadores que recebem amostras de campanhas de spam malicioso. Reduzir o atrito manual na extração de artefatos embutidos acelera a etapa inicial da análise (obter o payload real para então submeter a engenharia reversa ou a sandboxes), o que é especialmente útil quando o volume de amostras .one aumenta durante uma campanha ativa.