BadAssMacros

BadAssMacros

Description

Outil de preuve de concept pour générer des macros malveillantes exploitant des techniques comme le VBA Purging et l'obfuscation de shellcode pour contourner les moteurs AV.

Cet outil prend en charge du shellcode brut qui peut être généré par des frameworks C2 populaires comme (Metasploit, Cobalt Strike, etc.) et produit une macro VBA.

L'outil prend un fichier doc/excel malveillant prêt et intégré avec le code VBA généré et effectue un purge VBA.

Fonctionnalités actuelles

BadAssMacros inclut actuellement les fonctionnalités suivantes :

• Injection de shellcode VBA classique.
• Injection de shellcode VBA indirecte (via LoadLibrary).
• Détection de sandbox.
• Purge VBA.
• Obfuscation de shellcode.
• Randomisation des noms de variables.

Techniques d'injection de shellcode

|   Name   | x32 |     x64     |
| -------- | --- | ----------- |
| Classic  | Yes | Yes         |
| Indirect | Yes | In Progress |

Utilisation éthique

L'outil BadAssMacros est destiné à être utilisé uniquement à des fins éthiques. Ne l'utilisez pas pour de mauvaises choses.

Instructions de construction

Construction à partir des sources

BadAssMacros nécessite des bibliothèques tierces qui peuvent être installées depuis le gestionnaire de packages NuGet.

• Clonez le dépôt dans Visual Studio
• Une fois le projet chargé dans Visual Studio, allez dans "Tools" --> "NuGet Package Manager" --> "Package Manager Settings" --> "NuGet Package Manager" --> "Package Sources"
• Vérifiez s'il existe une source de package avec l'URL - "https://api.nuget.org/v3/index.json". Si ce n'est pas le cas, créez-la.
• Exécutez les commandes suivantes
  • Install-Package Costura.Fody -Version 3.3.3
  • Install-Package OpenMcdf -Version 2.2.1.3
  • Install-Package Fody -Version 4.0.2
• Compilez le projet :)

Le fichier BadAssMacros.exe se trouvera dans le répertoire bin.

Exemples

• Afficher l'aide

BadAssMacros.exe -h

• Créer une VBA pour l'injection classique de shellcode à partir d'un shellcode brut

BadAssMacros.exe -i <path_to_raw_shellcode_file> -w <doc/excel> -p no -s classic -c <caesar_shift_value> -o <path_to_output_file>

• Créer une VBA pour l'injection indirecte de shellcode à partir d'un shellcode brut

BadAssMacros.exe -i <path_to_raw_shellcode_file> -w <doc/excel> -p no -s indirect -o <path_to_output_file>

• Lister les modules dans le fichier Doc/Excel

BadAssMacros.exe -i <path_to_doc/excel_file> -w <doc/excel> -p yes -l

• Purger le fichier Doc/Excel

BadAssMacros.exe -i <path_to_doc/excel_file> -w <doc/excel> -p yes -o <path_to_output_file> -m <module_name>

Détection

BadAssMacro a été testé contre des solutions antivirus locales et des services en ligne comme antiscan.me. Les résultats des tests utilisant la méthode d'exécution de shellcode indirecte sont joints ci-dessous.

REMARQUE : Veuillez ne pas soumettre les échantillons à VirusTotal

Contact

• @Inf0secRabbit
• @SoumyadeepBas12

Crédits

• OfficePurge par FireEye ici