BadAssMacros

BadAssMacros

Descrizione

Strumento Proof of Concept per generare macro dannose sfruttando tecniche come VBA Purging e Shellcode Obfuscation per eludere i motori antivirus.

Questo strumento accetta shellcode grezzo che può essere generato da popolari framework C2 come (Metasploit, Cobalt Strike, ecc.) e restituisce una macro VBA.

Lo strumento prende in input il file doc/excel malevolo già pronto e incorporato con il codice VBA generato ed esegue il VBA purging.

Funzionalità attuali

Le funzionalità di BadAssMacros attualmente includono:

• Iniezione di shellcode VBA classica.
• Iniezione di shellcode VBA indiretta (tramite LoadLibrary).
• Rilevamento sandbox.
• VBA Purging.
• Offuscamento dello shellcode.
• Randomizzazione dei nomi delle variabili.

Tecniche di iniezione dello shellcode

|   Name   | x32 |     x64     |
| -------- | --- | ----------- |
| Classic  | Yes | Yes         |
| Indirect | Yes | In Progress |

Uso etico

Lo strumento BadAssMacros è inteso per essere utilizzato solo per scopi etici. Non usarlo per cose cattive.

Istruzioni per la compilazione

Compilazione dai sorgenti

BadAssMacros richiede librerie di terze parti che possono essere installate dal gestore pacchetti NuGet.

• Clona il repository in Visual Studio
• Una volta che il progetto è caricato in Visual Studio vai su "Strumenti" --> "Gestore pacchetti NuGet" --> "Impostazioni gestore pacchetti" --> "Gestore pacchetti NuGet" --> "Origini pacchetti"
• Controlla se esiste un'origine pacchetti con URL - "https://api.nuget.org/v3/index.json". In caso contrario, creala.
• Esegui i seguenti comandi
  • Install-Package Costura.Fody -Version 3.3.3
  • Install-Package OpenMcdf -Version 2.2.1.3
  • Install-Package Fody -Version 4.0.2
• Compila il progetto :)

Il file BadAssMacros.exe sarà all'interno della directory bin.

Esempi

• Mostra aiuto

BadAssMacros.exe -h

• Crea VBA per l'iniezione di shellcode classica da shellcode grezzo

BadAssMacros.exe -i <path_to_raw_shellcode_file> -w <doc/excel> -p no -s classic -c <caesar_shift_value> -o <path_to_output_file>

• Crea VBA per l'iniezione di shellcode indiretta da shellcode grezzo

BadAssMacros.exe -i <path_to_raw_shellcode_file> -w <doc/excel> -p no -s indirect -o <path_to_output_file>

• Elenca i moduli all'interno del file Doc/Excel

BadAssMacros.exe -i <path_to_doc/excel_file> -w <doc/excel> -p yes -l

• Pulisci file Doc/Excel

BadAssMacros.exe -i <path_to_doc/excel_file> -w <doc/excel> -p yes -o <path_to_output_file> -m <module_name>

Rilevamento

BadAssMacro è stato testato contro soluzioni antivirus locali e servizi online come antiscan.me. I risultati del test utilizzando il metodo di esecuzione dello shellcode indiretto sono allegati di seguito.

NOTA: Non inviare i campioni a VirusTotal

Contatti

• @Inf0secRabbit
• @SoumyadeepBas12

Crediti

• OfficePurge di FireEye qui