BadAssMacros

BadAssMacros

विवरण

AV इंजनों से बचने के लिए VBA पर्जिंग और शेलकोड ओब्फस्केशन जैसी तकनीकों का लाभ उठाकर दुर्भावनापूर्ण मैक्रो उत्पन्न करने का प्रूफ ऑफ कॉन्सेप्ट टूल।

यह टूल लोकप्रिय C2 फ्रेमवर्क (जैसे Metasploit, Cobalt Strike आदि) द्वारा उत्पन्न कच्चे शेलकोड को लेता है और एक VBA मैक्रो आउटपुट करता है।

टूल तैयार दुर्भावनापूर्ण doc/excel फ़ाइल को लेता है जो उत्पन्न VBA कोड के साथ एम्बेडेड होती है और VBA पर्जिंग करता है।

वर्तमान विशेषताएँ

BadAssMacros की वर्तमान विशेषताओं में शामिल हैं:

• क्लासिक VBA शेलकोड इंजेक्शन।
• अप्रत्यक्ष VBA शेलकोड इंजेक्शन (LoadLibrary का उपयोग करके)।
• सैंडबॉक्स डिटेक्शन।
• VBA पर्जिंग।
• शेलकोड ओब्फस्केशन।
• वेरिएबल नाम रैंडमाइज़ेशन।

शेलकोड इंजेक्शन तकनीकें

|   Name   | x32 |     x64     |
| -------- | --- | ----------- |
| Classic  | Yes | Yes         |
| Indirect | Yes | In Progress |

नैतिक उपयोग

BadAssMacros टूल केवल नैतिक उद्देश्यों के लिए उपयोग किया जाना है। इसका उपयोग बुरी चीजों के लिए न करें।

बिल्ड निर्देश

स्रोतों से बिल्ड करें

BadAssMacros को NuGet पैकेज मैनेजर से स्थापित किए जा सकने वाले तृतीय-पक्ष लाइब्रेरीज़ की आवश्यकता है।

• Visual Studio में रिपॉजिटरी को क्लोन करें
• प्रोजेक्ट लोड होने के बाद "Tools" --> "NuGet Package Manager" --> "Package Manager Settings" --> "NuGet Package Manager" --> "Package Sources" पर जाएं
• जांचें कि URL "https://api.nuget.org/v3/index.json" वाला कोई पैकेज स्रोत है या नहीं। यदि नहीं है तो वही बनाएं।
• निम्न कमांड चलाएँ
  • Install-Package Costura.Fody -Version 3.3.3
  • Install-Package OpenMcdf -Version 2.2.1.3
  • Install-Package Fody -Version 4.0.2
• प्रोजेक्ट बनाएं :)

BadAssMacros.exe bin निर्देशिका के अंदर होगा।

उदाहरण

• सहायता दिखाएं

BadAssMacros.exe -h

• कच्चे शेलकोड से क्लासिक शेलकोड इंजेक्शन के लिए VBA बनाएं

BadAssMacros.exe -i <path_to_raw_shellcode_file> -w <doc/excel> -p no -s classic -c <caesar_shift_value> -o <path_to_output_file>

• कच्चे शेलकोड से अप्रत्यक्ष शेलकोड इंजेक्शन के लिए VBA बनाएं

BadAssMacros.exe -i <path_to_raw_shellcode_file> -w <doc/excel> -p no -s indirect -o <path_to_output_file>

• Doc/Excel फ़ाइल के अंदर मॉड्यूल सूचीबद्ध करें

BadAssMacros.exe -i <path_to_doc/excel_file> -w <doc/excel> -p yes -l

• Doc/Excel फ़ाइल को पर्ज करें

BadAssMacros.exe -i <path_to_doc/excel_file> -w <doc/excel> -p yes -o <path_to_output_file> -m <module_name>

डिटेक्शन

BadAssMacro का परीक्षण स्थानीय एंटीवायरस समाधानों और antiscan.me जैसी ऑनलाइन सेवाओं के विरुद्ध किया गया। अप्रत्यक्ष शेलकोड निष्पादन विधि का उपयोग करके इसी के परीक्षण के परिणाम नीचे संलग्न हैं।

नोट: कृपया नमूने VirusTotal पर सबमिट न करें

संपर्क

• @Inf0secRabbit
• @SoumyadeepBas12

क्रेडिट्स

• OfficePurge FireEye द्वारा यहाँ