NPST 03. Redacted: light DOCX forensics

Task description

Det er krise! Filene på alvemaskinene har blitt kryptert, og vi har ingen backups tilgjengelig!

På nissens skrivebord fant vi det vedlagte brevet, sammen med en kryptert fil.

Det er ubeskrivelig viktig at vi får åpnet denne filen igjen umiddelbart, da Jule NISSEN ikke klarer å huske innholdet!

- Mellomleder

Mitt utpressingsbrev.docx

huskeliste.txt.enc

Key information

  • Key: dda2846b010a6185b5e76aca4144069f88dc7a6ba49bf128

  • IV: UtgangsVektor123

  • PenguinCoin address: 43hxBZLYr1

  • Suspicious: “Jule NISSEN”

  • Suspicious: Lapskaus$ == https://en.wikipedia.org/wiki/Lapsus%24

  • Suspicious: “There is no sp00ne”

  • Ciphertext (base64):

    qlRpqmM+yENV/QMGV1OEnBGZf1Uezculf6vNDdxITIN/jbQ4qJn0RXmkrcxhELGStNunjs6Vl+y9
4XIN8n4k/URJy/rIPTbSx81NoubCFPOxOh/woMEli4spXmu2If4e4Gy2VsV9iJ2UgPhb0nMpLlsn
YgzAtWeeIqceWwbBVONGMhV+WECs2EeYwKxDnyxz6cJ1OEY1Ts+6wgrDLvoPtjuYdAhh/BT7TLu3
q9L6ZCxwN2Zb+IpqefQz552AjTYgDHzSML2jSno4PW4LGBREDYjClO4lJtY2wMx/1BxNrD89XmiZ
Fqxh0/13jw41X0arjHCm5xKE0vgoS1fP3uj9zuXm4KkVCOUrpjAL0GZ2hl3wfJPOsvY8d2MQzA==

Solution

  1. Get the key by moving the “REDACTED” image in libreoffice

  2. Get the IV (initialization vector) by turning on the option “Show tracked changes” in libreoffice. This option is enabled by default.

  3. Get the encryption algorithm used by selecting the image, choosing crop, and expanding the edges (essentially uncropping it) in libreoffice.

    enc.png

  4. Use ROT13 on the IV as instructed in the image

  5. Decrypt the text with AES-CTR, also as instructed in the image

    Nissing 101:

Snille barn: Morosaker, spenstigheter og snurrepiperier
Slemme barn: Ukomprimerte diamanter
Nissebetjenter: Flagg

Forslag til morosaker, spenstigheter og snurrepiperier:
Dukker
Lekebiler
Sokker

Forslag til flagg:
Norsk
Nordpolsk
KRIPOS{Husk å se etter spor i snøen!}

Flag: KRIPOS{Husk å se etter spor i snøen!}