Puzzle #2: Ann Skips Bail

After being released on bail, Ann Dercover disappears! Fortunately, investigators were carefully monitoring her network activity before she skipped town.

“We believe Ann may have communicated with her secret lover, Mr. X, before she left,” says the police chief. “The packet capture may contain clues to her whereabouts.”

You are the forensic investigator. Your mission is to figure out what Ann emailed, where she went, and recover evidence including:

 

1. What is Ann’s email address?

 email과 관련된 Protocol인 SMTP 패킷을 확인합니다.

 

TCP Stream을 실행하여 확인하면 FROM인 Ann's의 이메일주소 sneakyg33k@aol.com 라는 것을 알 수 있습니다.

2. What is Ann’s email password?

이메일 로그인 계정 정보가 Base64로 암호화되어 있는 것을 알 수 있습니다.

 

이메일 계정 정보 sneakyg33k@aol.com/558r00lz 라는 것을 알 수 있습니다.

3. What is Ann’s secret lover’s email address?

mistersecretx@aol.com

 

4. What two items did Ann tell her secret lover to bring?

tcp.stream eq 1을 설정합니다.

 

TCP Stream을 통해 보면 중간에 Hi sweetheart! Bring your fake passport and a bathing suit 대화 내용을 알 수 있습니다.

 

5. What is the NAME of the attachment Ann sent to her secret lover?

패킷 내용을 확인하면 secretrendezvous.docx 파일을 확인할 수 있습니다.

 

6. What is the MD5sum of the attachment Ann sent to her secret lover?

9e423e11db88f01bbff81172839e1923

7. In what CITY and COUNTRY is their rendez-vous point?

secretrendezvous.docx  파일을 보면 Playa del Carmen, Mexico라는 것을 알 수 있습니다.

8. What is the MD5sum of the image embedded in the document?

secretrendezvous.docx  파일의 확장자를 ZIP 변경 후 media 폴더에 해당 이미지를 확인할 수 있습니다.

 

HashCalc 프로그램을 이용하여 aadeace50997b1ba24b09ac2ef1940b7 md5 값을 확인할 수 있습니다.