Possible FP 19274

["Lay, James" <james.lay () wincofoods com>]

Lots of these...160 over 3 hours

Rule:
alert tcp $EXTERNAL_NET any -> $SMTP_SERVERS 25 (msg:"POLICY attempted
download of a PDF with embedded Flash over smtp";
flow:to_server,established; content:"cmVhbQ"; fast_pattern:only;
pcre:"/cmVhbQ[opqr][A-Za-z0-9_\x2f]/s"; reference:bugtraq,35759;
reference:bugtraq,44503; reference:cve,2009-1862;
reference:cve,2010-3654;
reference:url,blogs.adobe.com/psirt/2009/07/potential_adobe_reader_and_f
la.html; classtype:policy-violation; sid:19274; rev:1;)

Pcap info (from BASE):
000 : 47 5A 73 4F 6E 51 7A 43 6D 4E 7A 64 43 34 67 61   GZsOnQzCmNzdC4ga
010 : 57 49 75 4D 57 30 7A 4D 58 67 4B 5A 57 35 6B 63   WIuMW0zMXgKZW5kc
020 : 33 52 79 5A 57 46 74 43 6D 56 75 5A 47 39 69 61   3RyZWFtCmVuZG9ia
030 : 67 6F 33 49 44 41 67 0D 0A 62 32 4A 71 43 6A 51   go3IDAg..b2JqCjQ
040 : 77 4D 6A 67 67 43 6D 56 75 5A 47 39 69 61 67 6F   wMjggCmVuZG9iago
050 : 34 49 44 41 67 62 32 4A 71 43 6A 77 38 49 43 39   4IDAgb2JqCjw8IC9
060 : 4D 5A 57 35 6E 64 47 67 67 4D 6A 63 67 50 6A 34   MZW5ndGggMjcgPj4
070 : 67 43 6E 4E 30 63 6D 56 68 62 51 6F 6C 49 45 4E   gCnN0cmVhbQolIEN
080 : 42 54 6B 39 4F 0D 0A 58 31 42 47 53 55 35 47 58   BTk9O..X1BGSU5GX
090 : 31 52 5A 55 45 55 77 58 31 52 46 57 46 52 50 54   1RZUEUwX1RFWFRPT
0a0 : 67 6F 4B 5A 57 35 6B 63 33 52 79 5A 57 46 74 43   goKZW5kc3RyZWFtC
0b0 : 6D 56 75 5A 47 39 69 61 67 6F 35 49 44 41 67 62   mVuZG9iago5IDAgb
0c0 : 32 4A 71 43 6A 77 38 49 43 39 4D 5A 57 35 6E 64   2JqCjw8IC9MZW5nd
0d0 : 47 67 67 0D 0A 4E 44 51 67 50 6A 34 67 43 6E 4E   Ggg..NDQgPj4gCnN
0e0 : 30 63 6D 56 68 62 51 70 78 43 6A 59 78 4D 69 34   0cmVhbQpxCjYxMi4
0f0 : 78 4F 43 41 77 49 44 41 67 4E 7A 6B 79 4C 6A 41   xOCAwIDAgNzkyLjA
100 : 77 49 44 41 75 4D 44 41 67 4D 43 34 77 4D 43 42   wIDAuMDAgMC4wMCB
110 : 6A 62 51 6F 76 54 32 4A 71 4D 69 42 45 62 77 70   jbQovT2JqMiBEbwp
120 : 52 0D 0A 43 67 70 6C 62 6D 52 7A 64 48 4A 6C 59   R..CgplbmRzdHJlY
130 : 57 30 4B 5A 57 35 6B 62 32 4A 71 43 6A 45 77 49   W0KZW5kb2JqCjEwI
140 : 44 41 67 62 32 4A 71 43 6A 77 38 49 41 6F 76 56   DAgb2JqCjw8IAovV
150 : 48 6C 77 5A 53 41 76 55 47 46 6E 5A 53 41 4B 4C   HlwZSAvUGFnZSAKL
160 : 30 31 6C 5A 47 6C 68 51 6D 39 34 49 46 73 67 0D   01lZGlhQm94IFsg.
170 : 0A 4D 43 41 77 49 44 59 78 4D 69 34 78 4F 43 41   .MCAwIDYxMi4xOCA
180 : 33 4F 54 49 75 4D 44 41 67 58 53 41 4B 4C 31 42   3OTIuMDAgXSAKL1B
190 : 68 63 6D 56 75 64 43 41 78 4D 53 41 77 49 46 49   hcmVudCAxMSAwIFI
1a0 : 67 43 69 39 53 5A 58 4E 76 64 58 4A 6A 5A 58 4D   gCi9SZXNvdXJjZXM
1b0 : 67 50 44 77 67 4C 30 5A 76 62 6E 51 67 0D 0A 50   gPDwgL0ZvbnQg..P
1c0 : 44 77 67 4C 30 59 7A 49 44 55 67 4D 43 42 53 49   DwgL0YzIDUgMCBSI
1d0 : 44 34 2B 49 43 39 59 54 32 4A 71 5A 57 4E 30 49   D4+IC9YT2JqZWN0I
1e0 : 44 77 38 49 43 39 50 59 6D 6F 79 49 44 49 67 4D   Dw8IC9PYmoyIDIgM
1f0 : 43 42 53 49 44 34 2B 49 43 39 54 64 57 4A 30 65   CBSID4+IC9TdWJ0e
200 : 58 42 6C 49 44 59 67 4D 43 42 53 0D 0A 43 69 39   XBlIDYgMCBS..Ci9
210 : 51 63 6D 39 6A 55 32 56 30 49 46 73 67 4C 31 42   Qcm9jU2V0IFsgL1B
220 : 45 52 69 41 76 56 47 56 34 64 43 41 76 53 57 31   ERiAvVGV4dCAvSW1
230 : 68 5A 32 56 43 49 43 39 4A 62 57 46 6E 5A 55 4D   hZ2VCIC9JbWFnZUM
240 : 67 4C 30 6C 74 59 57 64 6C 53 53 42 64 49 44 34   gL0ltYWdlSSBdID4
250 : 2B 49 41 6F 76 51 32 39 75 0D 0A 64 47 56 75 64   +IAovQ29u..dGVud
260 : 48 4D 67 57 79 41 34 49 44 41 67 55 69 41 35 49   HMgWyA4IDAgUiA5I
270 : 44 41 67 55 69 41 7A 49 44 41 67 55 69 42 64 49   DAgUiAzIDAgUiBdI
280 : 41 6F 2B 50 69 41 4B 5A 57 35 6B 62 32 4A 71 43   Ao+PiAKZW5kb2JqC
290 : 6A 45 78 49 44 41 67 62 32 4A 71 43 6A 77 38 49   jExIDAgb2JqCjw8I
2a0 : 41 6F 76 53 32 6C 6B 0D 0A 63 79 42 62 49 44 45   AovS2lk..cyBbIDE
2b0 : 77 49 44 41 67 55 69 42 64 49 41 6F 76 51 32 39   wIDAgUiBdIAovQ29
2c0 : 31 62 6E 51 67 4D 53 41 4B 4C 31 52 35 63 47 55   1bnQgMSAKL1R5cGU
2d0 : 67 4C 31 42 68 5A 32 56 7A 49 41 6F 2B 50 69 41   gL1BhZ2VzIAo+PiA
2e0 : 4B 5A 57 35 6B 62 32 4A 71 43 6A 45 79 49 44 41   KZW5kb2JqCjEyIDA
2f0 : 67 62 32 4A 71 0D 0A 43 6A 77 38 49 41 6F 76 55   gb2Jq..Cjw8IAovU
300 : 47 46 6E 5A 58 4D 67 4D 54 45 67 4D 43 42 53 49   GFnZXMgMTEgMCBSI
310 : 41 6F 76 56 48 6C 77 5A 53 41 76 51 32 46 30 59   AovVHlwZSAvQ2F0Y
320 : 57 78 76 5A 79 41 4B 50 6A 34 67 43 6D 56 75 5A   WxvZyAKPj4gCmVuZ
330 : 47 39 69 61 67 70 34 63 6D 56 6D 43 6A 41 67 4D   G9iagp4cmVmCjAgM
340 : 54 4D 67 0D 0A 43 6A 41 77 4D 44 41 77 4D 44 41   TMg..CjAwMDAwMDA
350 : 77 4D 44 41 67 4E 6A 55 31 4D 7A 55 67 5A 69 41   wMDAgNjU1MzUgZiA
360 : 4B 4D 44 41 77 4D 44 41 77 4D 44 41 78 4E 53 41   KMDAwMDAwMDAxNSA
370 : 77 4D 44 41 77 4D 43 42 75 49 41 6F 77 4D 44 41   wMDAwMCBuIAowMDA
380 : 77 4D 44 41 77 4D 54 45 77 49 44 41 77 4D 44 41   wMDAwMTEwIDAwMDA
390 : 77 0D 0A 49 47 34 67 43 6A 41 77 4D 44 45 33 4E   w..IG4gCjAwMDE3N
3a0 : 54 55 30 4E 6A 49 67 4D 44 41 77 4D 44 41 67 62   TU0NjIgMDAwMDAgb
3b0 : 69 41 4B 4D 44 41 77 4D 54 63 34 4E 54 63 32 4D   iAKMDAwMTc4NTc2M
3c0 : 53 41 77 4D 44 41 77 4D 43 42 75 49 41 6F 77 4D   SAwMDAwMCBuIAowM
3d0 : 44 41 78 4E 7A 67 31 4E 7A 67 7A 49 44 41 77 0D   DAxNzg1NzgzIDAw.
3e0 : 0A 4D 44 41 77 49 47 34 67 43 6A 41 77 4D 44 45   .MDAwIG4gCjAwMDE
3f0 : 33 4F 44 55 34 4F 44 59 67 4D 44 41 77 4D 44 41   3ODU4ODYgMDAwMDA
400 : 67 62 69 41 4B 4D 44 41 77 4D 54 63 34 4F 54 6B   gbiAKMDAwMTc4OTk
410 : 32 4E 79 41 77 4D 44 41 77 4D 43 42 75 49 41 6F   2NyAwMDAwMCBuIAo
420 : 77 4D 44 41 78 4E 7A 67 35 4F 54 67 34 0D 0A 49   wMDAxNzg5OTg4..I
430 : 44 41 77 4D 44 41 77 49 47 34 67 43 6A 41 77 4D   DAwMDAwIG4gCjAwM
440 : 44 45 33 4F 54 41 77 4E 6A 59 67 4D 44 41 77 4D   DE3OTAwNjYgMDAwM
450 : 44 41 67 62 69 41 4B 4D 44 41 77 4D 54 63 35 4D   DAgbiAKMDAwMTc5M
460 : 44 45 32 4D 53 41 77 4D 44 41 77 4D 43 42 75 49   DE2MSAwMDAwMCBuI
470 : 41 6F 77 4D 44 41 78 4E 7A 6B 77 0D 0A 4E 44 45   AowMDAxNzkw..NDE
480 : 77 49 44 41 77 4D 44 41 77 49 47 34 67 43 6A 41   wIDAwMDAwIG4gCjA
490 : 77 4D 44 45 33 4F 54 41 30 4E 7A 59 67 4D 44 41   wMDE3OTA0NzYgMDA
4a0 : 77 4D 44 41 67 62 69 41 4B 64 48 4A 68 61 57 78   wMDAgbiAKdHJhaWx
4b0 : 6C 63 67 6F 38 50 41 6F 76 55 32 6C 36 5A 53 41   lcgo8PAovU2l6ZSA
4c0 : 78 4D 77 6F 76 53 57 35 6D 0D 0A 62 79 41 78 49   xMwovSW5m..byAxI
4d0 : 44 41 67 55 69 41 4B 4C 31 4A 76 62 33 51 67 4D   DAgUiAKL1Jvb3QgM
4e0 : 54 49 67 4D 43 42 53 49 41 6F 76 53 55 51 67 57   TIgMCBSIAovSUQgW
4f0 : 7A 78 6B 5A 44 6C 6C 4D 44 4D 34 5A 54 67 78 5A   zxkZDllMDM4ZTgxZ
500 : 54 49 7A 4F 57 55 32 5A 57 52 69 59 54 52 6D 4D   TIzOWU2ZWRiYTRmM
510 : 7A 41 35 4D 32 45 31 0D 0A 59 7A 45 33 59 54 34   zA5M2E1..YzE3YT4
520 : 38 5A 47 51 35 5A 54 41 7A 4F 47 55 34 4D 57 55   8ZGQ5ZTAzOGU4MWU
530 : 79 4D 7A 6C 6C 4E 6D 56 6B 59 6D 45 30 5A 6A 4D   yMzllNmVkYmE0ZjM
540 : 77 4F 54 4E 68 4E 57 4D 78 4E 32 45 2B 58 51 6F   wOTNhNWMxN2E+XQo
550 : 2B 50 67 70 7A 64 47 46 79 64 48 68 79 5A 57 59   +PgpzdGFydHhyZWY
560 : 4B 4D 54 63 35 0D 0A 4D 44 55 7A 4D 51 6F 6C 4A   KMTc5..MDUzMQolJ
570 : 55 56 50 52 67 6F 3D 0D                           UVPRgo=.

James

------------------------------------------------------------------------------
Magic Quadrant for Content-Aware Data Loss Prevention
Research study explores the data loss prevention market. Includes in-depth
analysis on the changes within the DLP market, and the criteria used to
evaluate the strengths and weaknesses of these DLP solutions.
http://www.accelacomm.com/jaw/sfnl/114/51385063/
_______________________________________________
Snort-sigs mailing list
Snort-sigs () lists sourceforge net
https://lists.sourceforge.net/lists/listinfo/snort-sigs
http://www.snort.org