CTF [Forensic] 02: Ann Skips Bail por LMG

Hoy toca el segundo reto de Forensic básico (que de forense tiene más bien poco) y parece que el departamento de seguridad siguen sospechando de Ann y ahora y nos han enviado [un nuevo pcap y nuevas preguntas] para seguir profundizando en la investigación. 

1. What is Ann’s email address?

• sneakyg33k@aol.com

2. What is Ann’s email password?

• Base64 = 558r00tz indiscutiblemente es esa. 

3. What is Ann’s secret lover’s email address?

• mistersecretx@aol.com

4. What two items did Ann tell her secret lover to bring?

• Frame 138: fake passport and a bathing suit.

5. What is the NAME of the attachment Ann sent to her secret lover?

• secretrendezvous.docx

6. What is the MD5sum of the attachment Ann sent to her secret lover?

En PowerShell: "Get-FileHash .\secretrendezvous.docx -Algorithm MD5" 

• 9E423E11DB88F01BBFF81172839E1923

7. In what CITY and COUNTRY is their rendez-vous point?

La información está dentro del documento: 

• Ciudad: Playa del Carmen 
• Pais: Mexico. 

8. What is the MD5sum of the image embedded in the document?

Primer intento y primer tropiezo de este blog. No se me ha ocurrido otra cosa que guardar la imagen como me lo sugería Windows (en png) --> PowerShell: "Get-FileHash .\test.png-Algorithm MD5"  

• 2DEDA162E18ACC15FB9BE01F012559D5 (Este hash no es correcto)

Lo cual es un error ya modifica irremediablemente el peso del archivo.png. Cosa que no entiendo muy bien por que. El archivo ahora pesa 159 KB frente a los 189 KB que pensaría si hacemos el truco de  descomprimir el word. 

Si nos liamos a buscar dentro del word descomprimido encontraremos la carpeta "media" y dentro de ella la imagen con el nombre indescifrable de image1.png. 

Si sacamos el MD5 --> PowerShell: "Get-FileHash .\test.png-Algorithm MD5"  

• AADEACE50997B1BA24B09AC2EF1940B7 (Este es el bueno) 

Ahora me ha dejado un poco mosca el tema del peso de los archivo.

Sed Buenos ;)