MacroShop

مجموعة من النصوص البرمجية للمساعدة في توصيل الحمولات عبر وحدات ماكرو أوفيس. معظمها بلغة بايثون. راجع http://khr0x40sh.wordpress.com للتفاصيل.

1. macro_safe.py

   يُنشئ كود VB آمن للإدراج في جدول بيانات إكسل. يتطلب ملف دفعي (batch) تم إنشاؤه بواسطة حمولات PowerShell في Veil-Evasion. للإدراج، فعّل قائمة المطور في أوفيس، انتقل إلى علامة التبويب Visual Basic، انقر نقرًا مزدوجًا على This_Workbook والصق محتوى ملف الإخراج. الصيغة هي: python macro_safe.py test.bat test.txt

2. exeinvba.py

   يُنشئ كود VB لتضمين وفك ضغط ملف تنفيذي محمول (PE) على نظام الملفات لتوصيله عبر ماكرو أوفيس. للإدراج، فعّل قائمة المطور في أوفيس، انتقل إلى علامة التبويب Visual Basic، انقر نقرًا مزدوجًا على This_Workbook والصق محتوى ملف الإخراج. يتطلب ملف PE. الصيغة هي: python exeinvba.py --exe test.exe --out test.vb --dest "C:\Users\Public\Documents\test.exe" تأكد من هروب أي خطوط مائلة عكسية في متغير الوجهة (dest)

3. macro_safe_old.py

   نفس macro_safe.py، لكنها تستخدم PowerShell بدلاً من VB لاكتشاف بنية النظام (architecture) لاستدعاء الإصدار الصحيح من PowerShell.

4. b64_enc.py

   نسخة مخففة من exeinvba.py تُخرج كلاً من سلسلة base64 الخام للملف التنفيذي والقسم الخاص بالمتغير في VB. قد تكون مفيدة للاستخدام مع قوالب VB مختلفة أو طرق أخرى قد تتطلب ملفًا تنفيذيًا يُمرر كسلسلة base64 في مكان ما. تُخزن الإخراج تلقائيًا في base64_output.txt (خام) و base64_output.vb. الصيغة هي: python b64_enc.py test.exe