BadAssMacros

BadAssMacros

Descrição

Ferramenta de Prova de Conceito para gerar macros maliciosas usando técnicas como VBA Purging e Ofuscação de Shellcode para evadir mecanismos de AV.

Esta ferramenta recebe shellcode bruto que pode ser gerado por frameworks C2 populares como (Metasploit, Cobalt Strike etc) e gera uma macro VBA.

A ferramenta recebe o arquivo doc/excel malicioso pronto e incorporado com o código VBA gerado e realiza a purgação VBA.

Funcionalidades Atuais

BadAssMacros atualmente inclui as seguintes funcionalidades:

• Injeção clássica de shellcode VBA.
• Injeção indireta de shellcode VBA (usando LoadLibrary).
• Detecção de Sandbox.
• Purgação VBA.
• Ofuscação de shellcode.
• Randomização de nomes de variáveis.

Técnicas de Injeção de Shellcode

|   Name   | x32 |     x64     |
| -------- | --- | ----------- |
| Classic  | Yes | Yes         |
| Indirect | Yes | In Progress |

Uso Ético

A ferramenta BadAssMacros deve ser usada apenas para fins éticos. Não a use para coisas ruins.

Instruções de Compilação

Compilar a partir das fontes

BadAssMacros requer bibliotecas de terceiros que podem ser instaladas a partir do gerenciador de pacotes NuGet.

• Clone o repositório no Visual Studio
• Uma vez que o projeto esteja carregado no Visual Studio, vá em "Tools" --> "NuGet Package Manager" --> "Package Manager Settings" --> "NuGet Package Manager" --> "Package Sources"
• Verifique se existe uma origem de pacote com URL - "https://api.nuget.org/v3/index.json". Caso contrário, crie a mesma.
• Execute os seguintes comandos
  • Install-Package Costura.Fody -Version 3.3.3
  • Install-Package OpenMcdf -Version 2.2.1.3
  • Install-Package Fody -Version 4.0.2
• Compile o projeto :)

O BadAssMacros.exe estará dentro do diretório bin.

Exemplos

• Mostrar Ajuda

BadAssMacros.exe -h

• Criar VBA para injeção clássica de shellcode a partir de shellcode bruto

BadAssMacros.exe -i <path_to_raw_shellcode_file> -w <doc/excel> -p no -s classic -c <caesar_shift_value> -o <path_to_output_file>

• Criar VBA para injeção indireta de shellcode a partir de shellcode bruto

BadAssMacros.exe -i <path_to_raw_shellcode_file> -w <doc/excel> -p no -s indirect -o <path_to_output_file>

• Listar módulos dentro do arquivo Doc/Excel

BadAssMacros.exe -i <path_to_doc/excel_file> -w <doc/excel> -p yes -l

• Purgar arquivo Doc/Excel

BadAssMacros.exe -i <path_to_doc/excel_file> -w <doc/excel> -p yes -o <path_to_output_file> -m <module_name>

Detecção

BadAssMacro foi testado contra soluções antivírus locais e serviços online como antiscan.me. Os resultados do teste usando o método de execução indireta de shellcode estão anexados abaixo.

NOTA: Por favor, não envie as amostras para o VirusTotal

Contato

• @Inf0secRabbit
• @SoumyadeepBas12

Créditos

• OfficePurge por FireEye aqui