mr-un1k0d3r/maliciousmacrogeneratorГенерирует обфусцированные VBA-макросы с обходом антивирусов/песочниц для полезных нагрузок выполнения команд, поддерживая проверки домена, диска, памяти и процессов.
Простая утилита, предназначенная для генерации обфусцированных макросов, включающих механизм обхода антивирусов и песочниц.
Python 2.7
MMG.Malicious Macro Generator v2.0 - RingZer0 Team
Author: Mr.Un1k0d3r [email protected]
Usage: MMG.py [config] [output] (optional parameters)
[config] Файл конфигурации, содержащий информацию о генераторе
[output] Имя выходного файла для макроса
-l --list Список всех доступных полезных нагрузок и методов обхода
-s --split_strings Случайное разбиение строк на части
-x --strings_to_hex Кодирование строк в шестнадцатеричный формат
python MMG.py configs/generic-cmd.json malicious.vba
Пример файла конфигурации проекта.
{
"description": "Generic command exec payload\nEvasion technique set to domain check",
"template": "templates/payloads/generic-cmd-evasion-template.vba",
"varcount": 150,
"encodingoffset": 4,
"chunksize": 200,
"encodedvars": {
"DOMAIN":"RINGZER0"
},
"vars": [],
"evasion": ["encoder", "domain"],
"payload": "cmd.exe /c whoami"
}
Макрос получает переменную среды USERDOMAIN и сравнивает значение с заданным. Если они совпадают, выполняется конечная полезная нагрузка.
Макрос проверяет общее дисковое пространство. Виртуальные машины и тестовые машины чаще всего имеют маленькие диски.
Макрос проверяет общий объем памяти. Виртуальные машины и тестовые машины используют меньше ресурсов.
Макрос проверяет время работы системы. Песочницы обычно имеют короткое время работы.
Макрос проверяет, запущен ли определенный процесс (например, outlook.exe).
Скрипт на Python также генерирует обфусцированный код для избежания эвристического обнаружения.
Mr.Un1k0d3r RingZer0 Team