Análise de PST do Outlook para Forense de E-mails

Visão Geral

Arquivos PST (Personal Storage Table) e OST (Offline Storage Table) do Microsoft Outlook são fontes críticas de evidências em investigações de forense digital. Arquivos PST armazenam mensagens de e-mail, eventos de calendário, contatos, tarefas e notas em um formato binário proprietário baseado no sistema de propriedades MAPI (Messaging Application Programming Interface). A análise forense desses arquivos permite a recuperação de e-mails excluídos (da pasta Itens Recuperáveis), a extração de cabeçalhos de e-mail para rastrear rotas de mensagens, a análise de anexos em busca de malware ou dados exfiltrados e a reconstrução de padrões de comunicação. Arquivos PST modernos usam formato Unicode com páginas de 4KB e podem crescer até 50GB, enquanto o formato ANSI legado é limitado a 2GB.

Quando Usar

• Ao investigar incidentes de segurança que exigem análise de PST do Outlook para forense de e-mails
• Ao criar regras de detecção ou consultas de caça a ameaças para este domínio
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas

Pré-requisitos

• libpff/pffexport (parser PST de código aberto)
• Python 3.8+ com bibliotecas pypff ou libratom
• MailXaminer, Forensic Email Collector ou SysTools PST Forensics (comercial)
• Microsoft Outlook (opcional, para acesso nativo ao PST)
• Espaço em disco suficiente para o conteúdo extraído

Localizações de Arquivos PST

Análise com Ferramentas de Código Aberto

libpff / pffexport

# Export all items from PST file
pffexport -m all evidence.pst -t exported_pst

# Export only email messages
pffexport -m items evidence.pst -t exported_emails

# Export recovered/deleted items
pffexport -m recovered evidence.pst -t recovered_items

# Get PST file information
pffinfo evidence.pst

Análise de PST com Python

import pypff
import os
import json
import hashlib
import email
import sys
from datetime import datetime
from collections import defaultdict


class PSTForensicAnalyzer:
    """Análise forense de arquivos PST/OST do Outlook."""

    def __init__(self, pst_path: str, output_dir: str):
        self.pst_path = pst_path
        self.output_dir = output_dir
        os.makedirs(output_dir, exist_ok=True)
        self.pst = pypff.file()
        self.pst.open(pst_path)
        self.messages = []
        self.attachments = []
        self.stats = defaultdict(int)

    def process_folder(self, folder, folder_path: str = ""):
        """Processa recursivamente pastas PST e extrai mensagens."""
        folder_name = folder.name or "Root"
        current_path = f"{folder_path}/{folder_name}" if folder_path else folder_name

        for i in range(folder.number_of_sub_messages):
            try:
                message = folder.get_sub_message(i)
                msg_data = self.extract_message(message, current_path)
                if msg_data:
                    self.messages.append(msg_data)
                    self.stats["total_messages"] += 1
            except Exception as e:
                self.stats["parse_errors"] += 1

        for i in range(folder.number_of_sub_folders):
            try:
                subfolder = folder.get_sub_folder(i)
                self.process_folder(subfolder, current_path)
            except Exception:
                continue

    def extract_message(self, message, folder_path: str) -> dict:
        """Extrai metadados forenses de uma única mensagem de e-mail."""
        msg_data = {
            "folder": folder_path,
            "subject": message.subject or "",
            "sender": message.sender_name or "",
            "sender_email": "",
            "creation_time": str(message.creation_time) if message.creation_time else None,
            "delivery_time": str(message.delivery_time) if message.delivery_time else None,
            "modification_time": str(message.modification_time) if message.modification_time else None,
            "has_attachments": message.number_of_attachments > 0,
            "attachment_count": message.number_of_attachments,
            "body_size": len(message.plain_text_body or b""),
            "html_size": len(message.html_body or b""),
        }


…