BadAssMacros

BadAssMacros

Beschreibung

Proof-of-Concept-Tool zur Erstellung bösartiger Makros unter Verwendung von Techniken wie VBA Purging und Shellcode-Verschleierung, um AV-Engines zu umgehen.

Dieses Tool nimmt rohen Shellcode entgegen, der von gängigen C2-Frameworks (z. B. Metasploit, Cobalt Strike) generiert werden kann, und gibt ein VBA-Makro aus.

Das Tool nimmt die bösartige DOC/Excel-Datei, die mit dem generierten VBA-Code eingebettet ist, entgegen und führt VBA Purging durch.

Aktuelle Funktionen

BadAssMacros bietet derzeit folgende Funktionen:

• Klassische VBA-Shellcode-Injektion.
• Indirekte VBA-Shellcode-Injektion (mittels LoadLibrary).
• Sandbox-Erkennung.
• VBA Purging.
• Shellcode-Verschleierung.
• Variablenname-Randomisierung.

Techniken zur Shellcode-Injektion

|   Name   | x32 |     x64     |
| -------- | --- | ----------- |
| Classic  | Ja  | Ja          |
| Indirect | Ja  | In Bearbeitung |

Ethische Nutzung

Das BadAssMacros-Tool ist ausschließlich für ethische Zwecke gedacht. Verwenden Sie es nicht für schlechte Dinge.

Build-Anleitung

Aus den Quellen erstellen

BadAssMacros benötigt Drittanbieter-Bibliotheken, die über den NuGet-Paketmanager installiert werden können.

• Repository in Visual Studio klonen
• Sobald das Projekt in Visual Studio geladen ist, zu "Tools" --> "NuGet Package Manager" --> "Package Manager Settings" --> "NuGet Package Manager" --> "Package Sources" gehen
• Prüfen, ob eine Paketquelle mit der URL "https://api.nuget.org/v3/index.json" vorhanden ist. Falls nicht, eine solche erstellen.
• Die folgenden Befehle ausführen:
  • Install-Package Costura.Fody -Version 3.3.3
  • Install-Package OpenMcdf -Version 2.2.1.3
  • Install-Package Fody -Version 4.0.2
• Projekt erstellen :)

Die Datei BadAssMacros.exe befindet sich im Verzeichnis bin.

Beispiele

• Hilfe anzeigen

BadAssMacros.exe -h

• VBA für klassische Shellcode-Injektion aus rohem Shellcode erstellen

BadAssMacros.exe -i <pfad_zur_rohshellcode_datei> -w <doc/excel> -p no -s classic -c <caesar_shift_wert> -o <pfad_zur_ausgabedatei>

• VBA für indirekte Shellcode-Injektion aus rohem Shellcode erstellen

BadAssMacros.exe -i <pfad_zur_rohshellcode_datei> -w <doc/excel> -p no -s indirect -o <pfad_zur_ausgabedatei>

• Module in der DOC/Excel-Datei auflisten

BadAssMacros.exe -i <pfad_zur_doc/excel_datei> -w <doc/excel> -p yes -l

• DOC/Excel-Datei bereinigen

BadAssMacros.exe -i <pfad_zur_doc/excel_datei> -w <doc/excel> -p yes -o <pfad_zur_ausgabedatei> -m <modulname>

Erkennung

BadAssMacro wurde gegen lokale Antivirenlösungen und Online-Dienste wie antiscan.me getestet. Die Ergebnisse der Tests mit der indirekten Shellcode-Ausführungsmethode sind unten angehängt.

HINWEIS: Bitte reichen Sie die Proben nicht bei VirusTotal ein.

Kontakt

• @Inf0secRabbit
• @SoumyadeepBas12

Danksagungen

• OfficePurge von FireEye hier