MacroShop

Sammlung von Skripten zur Unterstützung der Auslieferung von Payloads über Office-Makros. Die meisten sind in Python geschrieben. Siehe http://khr0x40sh.wordpress.com für Details.

1. macro_safe.py

   Generiert sicheren VB-Code zur Einbindung in eine Excel-Tabelle. Erfordert eine Batch-Datei, die von Veil-Evasion PowerShell-Payloads erzeugt wurde. Zur Einbindung das Entwicklermenü in Office aktivieren, zur Registerkarte Visual Basic wechseln, auf Diese Arbeitsmappe doppelklicken und den Inhalt der Ausgabedatei einfügen. Syntax: python macro_safe.py test.bat test.txt

2. exeinvba.py

   Generiert VB-Code zum Einbinden und Entpacken einer ausführbaren Datei auf ein Dateisystem zur Auslieferung über ein Office-Makro. Zur Einbindung das Entwicklermenü in Office aktivieren, zur Registerkarte Visual Basic wechseln, auf Diese Arbeitsmappe doppelklicken und den Inhalt der Ausgabedatei einfügen. Erfordert eine PE-Datei. Syntax: python exeinvba.py --exe test.exe --out test.vb --dest "C:\Users\Public\Documents\test.exe" Stellen Sie sicher, dass alle Backslashes in der dest-Variable maskiert sind.

3. macro_safe_old.py

   Gleiche Funktionalität wie macro_safe.py, verwendet jedoch PowerShell anstelle von VB zur Architekturerkennung, um die richtige Version von PowerShell aufzurufen.

4. b64_enc.py

   Abgespeckte Version von exeinvba.py, die sowohl den rohen Base64-String der ausführbaren Datei als auch den variablenspezifischen Abschnitt des VB-Codes ausgibt. Kann nützlich sein für verschiedene VB-Vorlagen oder andere Methoden, die eine als Base64-String übergebene ausführbare Datei erfordern. Speichert die Ausgabe automatisch in base64_output.txt (roh) und base64_output.vb. Syntax: python b64_enc.py test.exe