BadAssMacros

BadAssMacros

Описание

Инструмент Proof of Concept для генерации вредоносных макросов, использующий такие методы, как VBA Purging и обфускация шелл-кода, для обхода антивирусных движков.

Этот инструмент принимает необработанный шелл-код, который может быть сгенерирован популярными C2-фреймворками (например, Metasploit, Cobalt Strike и т.д.), и выводит VBA-макрос.

Инструмент принимает готовый вредоносный doc/excel файл, уже содержащий сгенерированный VBA-код, и выполняет VBA purging.

Текущие возможности

BadAssMacros в настоящее время включает:

• Классическая инъекция VBA шелл-кода.
• Непрямая инъекция VBA шелл-кода (с использованием LoadLibrary).
• Обнаружение песочницы.
• VBA Purging.
• Обфускация шелл-кода.
• Рандомизация имен переменных.

Техники инъекции шелл-кода

|   Name   | x32 |     x64     |
| -------- | --- | ----------- |
| Classic  | Yes | Yes         |
| Indirect | Yes | In Progress |

Этическое использование

Инструмент BadAssMacros предназначен только для этического использования. Не используйте его для плохих целей.

Инструкции по сборке

Сборка из исходников

BadAssMacros требует сторонние библиотеки, которые можно установить из менеджера пакетов NuGet.

• Клонируйте репозиторий в Visual Studio
• После загрузки проекта в Visual Studio перейдите в "Tools" --> "NuGet Package Manager" --> "Package Manager Settings" --> "NuGet Package Manager" --> "Package Sources"
• Проверьте, есть ли источник пакетов с URL - "https://api.nuget.org/v3/index.json". Если нет, создайте такой же.
• Выполните следующие команды
  • Install-Package Costura.Fody -Version 3.3.3
  • Install-Package OpenMcdf -Version 2.2.1.3
  • Install-Package Fody -Version 4.0.2
• Соберите проект :)

BadAssMacros.exe будет находиться в директории bin.

Примеры

• Показать справку

BadAssMacros.exe -h

• Создать VBA для классической инъекции шелл-кода из необработанного шелл-кода

BadAssMacros.exe -i <path_to_raw_shellcode_file> -w <doc/excel> -p no -s classic -c <caesar_shift_value> -o <path_to_output_file>

• Создать VBA для непрямой инъекции шелл-кода из необработанного шелл-кода

BadAssMacros.exe -i <path_to_raw_shellcode_file> -w <doc/excel> -p no -s indirect -o <path_to_output_file>

• Список модулей внутри Doc/Excel файла

BadAssMacros.exe -i <path_to_doc/excel_file> -w <doc/excel> -p yes -l

• Очистить (Purge) Doc/Excel файл

BadAssMacros.exe -i <path_to_doc/excel_file> -w <doc/excel> -p yes -o <path_to_output_file> -m <module_name>

Обнаружение

BadAssMacro был протестирован против локальных антивирусных решений и онлайн-сервисов, таких как antiscan.me. Результаты тестирования с использованием метода непрямого выполнения шелл-кода прикреплены ниже.

ПРИМЕЧАНИЕ: Пожалуйста, не отправляйте образцы на VirusTotal

Контакты

• @Inf0secRabbit
• @SoumyadeepBas12

Благодарности

• OfficePurge от FireEye здесь