BadAssMacros

BadAssMacros

Descripción

Herramienta de prueba de concepto para generar macros maliciosas aprovechando técnicas como VBA Purging y Ofuscación de Shellcode para evadir motores AV.

Esta herramienta toma shellcode sin procesar que puede ser generado por frameworks C2 populares (como Metasploit, Cobalt Strike, etc.) y produce una macro VBA.

La herramienta toma el archivo malicioso doc/excel listo e incrustado con el código VBA generado y realiza VBA purging.

Funcionalidades actuales

Las funcionalidades actuales de BadAssMacros incluyen:

• Inyección clásica de shellcode VBA.
• Inyección indirecta de shellcode VBA (usando LoadLibrary).
• Detección de sandbox.
• VBA Purging.
• Ofuscación de shellcode.
• Aleatorización de nombres de variables.

Técnicas de inyección de shellcode

|   Name   | x32 |     x64     |
| -------- | --- | ----------- |
| Classic  | Yes | Yes         |
| Indirect | Yes | In Progress |

Uso ético

La herramienta BadAssMacros está destinada únicamente a usarse con fines éticos. No la uses para cosas malas.

Instrucciones de compilación

Compilación desde el código fuente

BadAssMacros requiere librerías de terceros que se pueden instalar desde el administrador de paquetes NuGet.

• Clone el repositorio en Visual Studio
• Una vez cargado el proyecto en Visual Studio, vaya a "Tools" --> "NuGet Package Manager" --> "Package Manager Settings" --> "NuGet Package Manager" --> "Package Sources"
• Compruebe si existe un origen de paquetes con la URL - "https://api.nuget.org/v3/index.json". Si no, créelo.
• Ejecute los siguientes comandos
  • Install-Package Costura.Fody -Version 3.3.3
  • Install-Package OpenMcdf -Version 2.2.1.3
  • Install-Package Fody -Version 4.0.2
• Compile el proyecto :)

El archivo BadAssMacros.exe estará dentro del directorio bin.

Ejemplos

• Mostrar ayuda

BadAssMacros.exe -h

• Crear VBA para inyección de shellcode clásica desde shellcode sin procesar

BadAssMacros.exe -i <path_to_raw_shellcode_file> -w <doc/excel> -p no -s classic -c <caesar_shift_value> -o <path_to_output_file>

• Crear VBA para inyección de shellcode indirecta desde shellcode sin procesar

BadAssMacros.exe -i <path_to_raw_shellcode_file> -w <doc/excel> -p no -s indirect -o <path_to_output_file>

• Listar módulos dentro del archivo Doc/Excel

BadAssMacros.exe -i <path_to_doc/excel_file> -w <doc/excel> -p yes -l

• Purgar archivo Doc/Excel

BadAssMacros.exe -i <path_to_doc/excel_file> -w <doc/excel> -p yes -o <path_to_output_file> -m <module_name>

Detección

BadAssMacro fue probado contra soluciones antivirus locales y servicios en línea como antiscan.me. Los resultados de las pruebas utilizando el método de ejecución de shellcode indirecto se adjuntan a continuación.

NOTA: No envíe las muestras a VirusTotal

Contacto

• @Inf0secRabbit
• @SoumyadeepBas12

Créditos

• OfficePurge por FireEye aquí