BadAssMacros

BadAssMacros

설명

VBA 퍼징 및 셸코드 난독화와 같은 기술을 활용하여 AV 엔진을 회피하는 악성 매크로를 생성하는 개념 증명 도구입니다.

이 도구는 (Metasploit, Cobalt Strike 등) 인기 있는 C2 프레임워크에서 생성할 수 있는 원시 셸코드를 입력받아 VBA 매크로를 출력합니다.

또한 악성 doc/excel 파일을 생성된 VBA 코드가 포함된 상태로 준비하여 VBA 퍼징을 수행합니다.

현재 기능

BadAssMacros의 현재 기능은 다음과 같습니다.

• 클래식 VBA 셸코드 인젝션
• 간접 VBA 셸코드 인젝션 (LoadLibrary 사용)
• 샌드박스 탐지
• VBA 퍼징
• 셸코드 난독화
• 변수명 무작위화

셸코드 인젝션 기술

|   Name   | x32 |     x64     |
| -------- | --- | ----------- |
| Classic  | Yes | Yes         |
| Indirect | Yes | In Progress |

윤리적 사용

BadAssMacros 도구는 오로지 윤리적인 목적으로만 사용해야 합니다. 나쁜 일에 사용하지 마세요.

빌드 방법

소스에서 빌드

BadAssMacros는 NuGet 패키지 관리자에서 설치할 수 있는 타사 라이브러리가 필요합니다.

• Visual Studio에서 저장소를 클론하세요.
• 프로젝트가 Visual Studio에 로드되면 "도구" --> "NuGet 패키지 관리자" --> "패키지 관리자 설정" --> "NuGet 패키지 관리자" --> "패키지 소스"로 이동하세요.
• URL이 "https://api.nuget.org/v3/index.json"인 패키지 소스가 있는지 확인하세요. 없으면 동일하게 생성하세요.
• 다음 명령을 실행하세요.
  • Install-Package Costura.Fody -Version 3.3.3
  • Install-Package OpenMcdf -Version 2.2.1.3
  • Install-Package Fody -Version 4.0.2
• 프로젝트를 빌드하세요 :)

BadAssMacros.exe는 bin 디렉터리 안에 있습니다.

예제

• 도움말 표시

BadAssMacros.exe -h

• 원시 셸코드에서 클래식 셸코드 인젝션용 VBA 생성

BadAssMacros.exe -i <path_to_raw_shellcode_file> -w <doc/excel> -p no -s classic -c <caesar_shift_value> -o <path_to_output_file>

• 원시 셸코드에서 간접 셸코드 인젝션용 VBA 생성

BadAssMacros.exe -i <path_to_raw_shellcode_file> -w <doc/excel> -p no -s indirect -o <path_to_output_file>

• Doc/Excel 파일 내 모듈 나열

BadAssMacros.exe -i <path_to_doc/excel_file> -w <doc/excel> -p yes -l

• Doc/Excel 파일 퍼징

BadAssMacros.exe -i <path_to_doc/excel_file> -w <doc/excel> -p yes -o <path_to_output_file> -m <module_name>

탐지

BadAssMacro는 로컬 안티바이러스 솔루션 및 antiscan.me와 같은 온라인 서비스에서 테스트되었습니다. 간접 셸코드 실행 방법을 사용한 동일한 테스트 결과는 아래와 같습니다.

참고: 샘플을 VirusTotal에 제출하지 마십시오.

연락처

• @Inf0secRabbit
• @SoumyadeepBas12

크레딧

• FireEye의 OfficePurge 여기