[THM][Note] Phishing Analysis Fundamentals

https://tryhackme.com/room/phishingemails1tryoe

Task4

What email header is the same as “Reply-to”?
Once you find the email sender’s IP address, where can you retrieve more information about the IP?

考え方）

• リンクされているこちらの記事をよく読む。

Task5

In the attached virtual machine, view the information in email2.txt and reconstruct the PDF using the base64 data. What is the text within the PDF?

考え方）

• base64の部分だけをコピーして「email_base64.txt」に保存。
• 改行コード（\r\nと、\n）を除外
• 以下のコマンドを実行

$ cat email_base64.txt | base64 -d > a.dat
$ open a.dat

Task6

What trusted entity is this email masquerading as?

考え方）

• From欄を偽造していないかチェック。
• From欄はBase64エンコーディングされているのでコピーしてデコードしてみる。

• base64以外のメタ情報を除外
• 以下のコマンドを実行

$ echo "VGhhbmsgeW91ISBIb21lIERlcG90" | base64 -d

What is the subject line? 

考え方）

• FROM欄をデコードした流れと一緒。

$ echo "T3JkZXIgUGxhY2VkIDogWW91ciBPcmRlciBJRCBPRDIzMjE2NTcwODkyOTEgUGxhY2VkIFN1Y2Nlc3NmdWxseQ==" | base64 -d

What is the URL link for – CLICK HERE? (Enter the defanged URL)

考え方）

• CLICK HEREのURLを探す
• デファング記法で回答を求められている