Snort mailing list archives
Possible FP 19274
From: "Lay, James" <james.lay () wincofoods com>
Date: Tue, 19 Jul 2011 13:09:45 -0600
Lots of these...160 over 3 hours Rule: alert tcp $EXTERNAL_NET any -> $SMTP_SERVERS 25 (msg:"POLICY attempted download of a PDF with embedded Flash over smtp"; flow:to_server,established; content:"cmVhbQ"; fast_pattern:only; pcre:"/cmVhbQ[opqr][A-Za-z0-9_\x2f]/s"; reference:bugtraq,35759; reference:bugtraq,44503; reference:cve,2009-1862; reference:cve,2010-3654; reference:url,blogs.adobe.com/psirt/2009/07/potential_adobe_reader_and_f la.html; classtype:policy-violation; sid:19274; rev:1;) Pcap info (from BASE): 000 : 47 5A 73 4F 6E 51 7A 43 6D 4E 7A 64 43 34 67 61 GZsOnQzCmNzdC4ga 010 : 57 49 75 4D 57 30 7A 4D 58 67 4B 5A 57 35 6B 63 WIuMW0zMXgKZW5kc 020 : 33 52 79 5A 57 46 74 43 6D 56 75 5A 47 39 69 61 3RyZWFtCmVuZG9ia 030 : 67 6F 33 49 44 41 67 0D 0A 62 32 4A 71 43 6A 51 go3IDAg..b2JqCjQ 040 : 77 4D 6A 67 67 43 6D 56 75 5A 47 39 69 61 67 6F wMjggCmVuZG9iago 050 : 34 49 44 41 67 62 32 4A 71 43 6A 77 38 49 43 39 4IDAgb2JqCjw8IC9 060 : 4D 5A 57 35 6E 64 47 67 67 4D 6A 63 67 50 6A 34 MZW5ndGggMjcgPj4 070 : 67 43 6E 4E 30 63 6D 56 68 62 51 6F 6C 49 45 4E gCnN0cmVhbQolIEN 080 : 42 54 6B 39 4F 0D 0A 58 31 42 47 53 55 35 47 58 BTk9O..X1BGSU5GX 090 : 31 52 5A 55 45 55 77 58 31 52 46 57 46 52 50 54 1RZUEUwX1RFWFRPT 0a0 : 67 6F 4B 5A 57 35 6B 63 33 52 79 5A 57 46 74 43 goKZW5kc3RyZWFtC 0b0 : 6D 56 75 5A 47 39 69 61 67 6F 35 49 44 41 67 62 mVuZG9iago5IDAgb 0c0 : 32 4A 71 43 6A 77 38 49 43 39 4D 5A 57 35 6E 64 2JqCjw8IC9MZW5nd 0d0 : 47 67 67 0D 0A 4E 44 51 67 50 6A 34 67 43 6E 4E Ggg..NDQgPj4gCnN 0e0 : 30 63 6D 56 68 62 51 70 78 43 6A 59 78 4D 69 34 0cmVhbQpxCjYxMi4 0f0 : 78 4F 43 41 77 49 44 41 67 4E 7A 6B 79 4C 6A 41 xOCAwIDAgNzkyLjA 100 : 77 49 44 41 75 4D 44 41 67 4D 43 34 77 4D 43 42 wIDAuMDAgMC4wMCB 110 : 6A 62 51 6F 76 54 32 4A 71 4D 69 42 45 62 77 70 jbQovT2JqMiBEbwp 120 : 52 0D 0A 43 67 70 6C 62 6D 52 7A 64 48 4A 6C 59 R..CgplbmRzdHJlY 130 : 57 30 4B 5A 57 35 6B 62 32 4A 71 43 6A 45 77 49 W0KZW5kb2JqCjEwI 140 : 44 41 67 62 32 4A 71 43 6A 77 38 49 41 6F 76 56 DAgb2JqCjw8IAovV 150 : 48 6C 77 5A 53 41 76 55 47 46 6E 5A 53 41 4B 4C HlwZSAvUGFnZSAKL 160 : 30 31 6C 5A 47 6C 68 51 6D 39 34 49 46 73 67 0D 01lZGlhQm94IFsg. 170 : 0A 4D 43 41 77 49 44 59 78 4D 69 34 78 4F 43 41 .MCAwIDYxMi4xOCA 180 : 33 4F 54 49 75 4D 44 41 67 58 53 41 4B 4C 31 42 3OTIuMDAgXSAKL1B 190 : 68 63 6D 56 75 64 43 41 78 4D 53 41 77 49 46 49 hcmVudCAxMSAwIFI 1a0 : 67 43 69 39 53 5A 58 4E 76 64 58 4A 6A 5A 58 4D gCi9SZXNvdXJjZXM 1b0 : 67 50 44 77 67 4C 30 5A 76 62 6E 51 67 0D 0A 50 gPDwgL0ZvbnQg..P 1c0 : 44 77 67 4C 30 59 7A 49 44 55 67 4D 43 42 53 49 DwgL0YzIDUgMCBSI 1d0 : 44 34 2B 49 43 39 59 54 32 4A 71 5A 57 4E 30 49 D4+IC9YT2JqZWN0I 1e0 : 44 77 38 49 43 39 50 59 6D 6F 79 49 44 49 67 4D Dw8IC9PYmoyIDIgM 1f0 : 43 42 53 49 44 34 2B 49 43 39 54 64 57 4A 30 65 CBSID4+IC9TdWJ0e 200 : 58 42 6C 49 44 59 67 4D 43 42 53 0D 0A 43 69 39 XBlIDYgMCBS..Ci9 210 : 51 63 6D 39 6A 55 32 56 30 49 46 73 67 4C 31 42 Qcm9jU2V0IFsgL1B 220 : 45 52 69 41 76 56 47 56 34 64 43 41 76 53 57 31 ERiAvVGV4dCAvSW1 230 : 68 5A 32 56 43 49 43 39 4A 62 57 46 6E 5A 55 4D hZ2VCIC9JbWFnZUM 240 : 67 4C 30 6C 74 59 57 64 6C 53 53 42 64 49 44 34 gL0ltYWdlSSBdID4 250 : 2B 49 41 6F 76 51 32 39 75 0D 0A 64 47 56 75 64 +IAovQ29u..dGVud 260 : 48 4D 67 57 79 41 34 49 44 41 67 55 69 41 35 49 HMgWyA4IDAgUiA5I 270 : 44 41 67 55 69 41 7A 49 44 41 67 55 69 42 64 49 DAgUiAzIDAgUiBdI 280 : 41 6F 2B 50 69 41 4B 5A 57 35 6B 62 32 4A 71 43 Ao+PiAKZW5kb2JqC 290 : 6A 45 78 49 44 41 67 62 32 4A 71 43 6A 77 38 49 jExIDAgb2JqCjw8I 2a0 : 41 6F 76 53 32 6C 6B 0D 0A 63 79 42 62 49 44 45 AovS2lk..cyBbIDE 2b0 : 77 49 44 41 67 55 69 42 64 49 41 6F 76 51 32 39 wIDAgUiBdIAovQ29 2c0 : 31 62 6E 51 67 4D 53 41 4B 4C 31 52 35 63 47 55 1bnQgMSAKL1R5cGU 2d0 : 67 4C 31 42 68 5A 32 56 7A 49 41 6F 2B 50 69 41 gL1BhZ2VzIAo+PiA 2e0 : 4B 5A 57 35 6B 62 32 4A 71 43 6A 45 79 49 44 41 KZW5kb2JqCjEyIDA 2f0 : 67 62 32 4A 71 0D 0A 43 6A 77 38 49 41 6F 76 55 gb2Jq..Cjw8IAovU 300 : 47 46 6E 5A 58 4D 67 4D 54 45 67 4D 43 42 53 49 GFnZXMgMTEgMCBSI 310 : 41 6F 76 56 48 6C 77 5A 53 41 76 51 32 46 30 59 AovVHlwZSAvQ2F0Y 320 : 57 78 76 5A 79 41 4B 50 6A 34 67 43 6D 56 75 5A WxvZyAKPj4gCmVuZ 330 : 47 39 69 61 67 70 34 63 6D 56 6D 43 6A 41 67 4D G9iagp4cmVmCjAgM 340 : 54 4D 67 0D 0A 43 6A 41 77 4D 44 41 77 4D 44 41 TMg..CjAwMDAwMDA 350 : 77 4D 44 41 67 4E 6A 55 31 4D 7A 55 67 5A 69 41 wMDAgNjU1MzUgZiA 360 : 4B 4D 44 41 77 4D 44 41 77 4D 44 41 78 4E 53 41 KMDAwMDAwMDAxNSA 370 : 77 4D 44 41 77 4D 43 42 75 49 41 6F 77 4D 44 41 wMDAwMCBuIAowMDA 380 : 77 4D 44 41 77 4D 54 45 77 49 44 41 77 4D 44 41 wMDAwMTEwIDAwMDA 390 : 77 0D 0A 49 47 34 67 43 6A 41 77 4D 44 45 33 4E w..IG4gCjAwMDE3N 3a0 : 54 55 30 4E 6A 49 67 4D 44 41 77 4D 44 41 67 62 TU0NjIgMDAwMDAgb 3b0 : 69 41 4B 4D 44 41 77 4D 54 63 34 4E 54 63 32 4D iAKMDAwMTc4NTc2M 3c0 : 53 41 77 4D 44 41 77 4D 43 42 75 49 41 6F 77 4D SAwMDAwMCBuIAowM 3d0 : 44 41 78 4E 7A 67 31 4E 7A 67 7A 49 44 41 77 0D DAxNzg1NzgzIDAw. 3e0 : 0A 4D 44 41 77 49 47 34 67 43 6A 41 77 4D 44 45 .MDAwIG4gCjAwMDE 3f0 : 33 4F 44 55 34 4F 44 59 67 4D 44 41 77 4D 44 41 3ODU4ODYgMDAwMDA 400 : 67 62 69 41 4B 4D 44 41 77 4D 54 63 34 4F 54 6B gbiAKMDAwMTc4OTk 410 : 32 4E 79 41 77 4D 44 41 77 4D 43 42 75 49 41 6F 2NyAwMDAwMCBuIAo 420 : 77 4D 44 41 78 4E 7A 67 35 4F 54 67 34 0D 0A 49 wMDAxNzg5OTg4..I 430 : 44 41 77 4D 44 41 77 49 47 34 67 43 6A 41 77 4D DAwMDAwIG4gCjAwM 440 : 44 45 33 4F 54 41 77 4E 6A 59 67 4D 44 41 77 4D DE3OTAwNjYgMDAwM 450 : 44 41 67 62 69 41 4B 4D 44 41 77 4D 54 63 35 4D DAgbiAKMDAwMTc5M 460 : 44 45 32 4D 53 41 77 4D 44 41 77 4D 43 42 75 49 DE2MSAwMDAwMCBuI 470 : 41 6F 77 4D 44 41 78 4E 7A 6B 77 0D 0A 4E 44 45 AowMDAxNzkw..NDE 480 : 77 49 44 41 77 4D 44 41 77 49 47 34 67 43 6A 41 wIDAwMDAwIG4gCjA 490 : 77 4D 44 45 33 4F 54 41 30 4E 7A 59 67 4D 44 41 wMDE3OTA0NzYgMDA 4a0 : 77 4D 44 41 67 62 69 41 4B 64 48 4A 68 61 57 78 wMDAgbiAKdHJhaWx 4b0 : 6C 63 67 6F 38 50 41 6F 76 55 32 6C 36 5A 53 41 lcgo8PAovU2l6ZSA 4c0 : 78 4D 77 6F 76 53 57 35 6D 0D 0A 62 79 41 78 49 xMwovSW5m..byAxI 4d0 : 44 41 67 55 69 41 4B 4C 31 4A 76 62 33 51 67 4D DAgUiAKL1Jvb3QgM 4e0 : 54 49 67 4D 43 42 53 49 41 6F 76 53 55 51 67 57 TIgMCBSIAovSUQgW 4f0 : 7A 78 6B 5A 44 6C 6C 4D 44 4D 34 5A 54 67 78 5A zxkZDllMDM4ZTgxZ 500 : 54 49 7A 4F 57 55 32 5A 57 52 69 59 54 52 6D 4D TIzOWU2ZWRiYTRmM 510 : 7A 41 35 4D 32 45 31 0D 0A 59 7A 45 33 59 54 34 zA5M2E1..YzE3YT4 520 : 38 5A 47 51 35 5A 54 41 7A 4F 47 55 34 4D 57 55 8ZGQ5ZTAzOGU4MWU 530 : 79 4D 7A 6C 6C 4E 6D 56 6B 59 6D 45 30 5A 6A 4D yMzllNmVkYmE0ZjM 540 : 77 4F 54 4E 68 4E 57 4D 78 4E 32 45 2B 58 51 6F wOTNhNWMxN2E+XQo 550 : 2B 50 67 70 7A 64 47 46 79 64 48 68 79 5A 57 59 +PgpzdGFydHhyZWY 560 : 4B 4D 54 63 35 0D 0A 4D 44 55 7A 4D 51 6F 6C 4A KMTc5..MDUzMQolJ 570 : 55 56 50 52 67 6F 3D 0D UVPRgo=. James ------------------------------------------------------------------------------ Magic Quadrant for Content-Aware Data Loss Prevention Research study explores the data loss prevention market. Includes in-depth analysis on the changes within the DLP market, and the criteria used to evaluate the strengths and weaknesses of these DLP solutions. http://www.accelacomm.com/jaw/sfnl/114/51385063/ _______________________________________________ Snort-sigs mailing list Snort-sigs () lists sourceforge net https://lists.sourceforge.net/lists/listinfo/snort-sigs http://www.snort.org
Current thread:
- Possible FP 19274 Lay, James (Jul 19)
- Re: Possible FP 19274 Weir, Jason (Jul 19)
- Re: Possible FP 19274 Castle, Shane (Jul 19)
- Re: Possible FP 19274 rmkml (Jul 19)
- Re: Possible FP 19274 Castle, Shane (Jul 19)
- Re: Possible FP 19274 Weir, Jason (Jul 19)