Office 恶意软件取证实验室 — REMnux 静态分析

对两个恶意 Office 文件进行静态分析，全程在隔离的 REMnux 虚拟机内完成。从未执行任何内容——仅进行检查。

环境配置

• REMnux 虚拟机，与主机无共享文件夹
• 工具：sha256sum、file、unzip，以及 oletools 套件（oleid、olevba、oledump、mraptor）
• 两个样本均取自 MalwareBazaar（abuse.ch）

样本 1：恶意 Word 文档（.docx）

SHA-256： 68e82279bff55cf3b9f1f22ec4a165b1b1245a359f7e8d86664b2541d8f8d3fe

我的发现：

• docx 内部的一个文件（nste.xml）实际上是伪装成 XML 的富文本格式（RTF）数据——这种类型不匹配本身就是危险信号
• 一个嵌入对象是一个 196 KB 的 VBS 可执行文件（419876.vbs）
• 另一个嵌入对象匹配 CVE-2017-11882——一个已知的公式编辑器漏洞利用，仅需打开文件即可运行，无需宏

结论：恶意。 这是一个真实的武器化文档，利用已知的 RCE 投放可执行文件。

样本 2：恶意 Excel 文件（.xlsx）

SHA-256： dc65419ba5d83b980d7018198a14209fa2f5ebf6f99d47bfe9f586852087befe

我的发现：

• 该文件已加密（受密码保护），这通常会向 AV 扫描器隐藏宏内容
• 它包含 4 个 VBA 模块，但 4 个全部返回空——mraptor 返回“Macro OK”，没有 AutoExec/Write/Execute 标志
• 一个工作表被隐藏
• 在一个旧式 XLM 宏流中存在十六进制编码的字符串，与 VBA 层相互独立
• 解码这些字符串后并未发现 shellcode 或下载 URL——只是一些类型库标识符

结论：可疑，但尚无定论。 加密、隐藏工作表以及混淆字符串看起来都像是规避战术，但我无法在 VBA 层确认存在实际的活动载荷。真正的载荷可能位于旧式 XLM 宏层（我未完全逆向该层），或者这可能是一个不完整/分阶段投放的样本。

我遵循的步骤

1. 对每个文件计算哈希（SHA-256）以建立证据链
2. 使用 file 检查真实文件类型，并与扩展名比对
3. 运行 oleid 快速了解加密/宏/外部链接情况
4. 运行 oledump 列出每个嵌入对象
5. 运行 olevba 提取并解码任何 VBA 源代码
6. 运行 mraptor 检查是否存在自动运行的宏行为

这说明了什么

• 如何识别用于规避检测的文件类型不匹配
• CVE-2017-11882 如何在完全不需要宏的情况下工作
• 如何实际验证宏行为，而不是仅凭表面指标进行假设
• 为什么加密 + 隐藏工作表 + 混淆字符串并不自动意味着“已确认恶意”——有时证据尚无定论，而这一点值得如实说明

来源

• CVE-2017-11882：Microsoft 公式编辑器 RCE
• oletools：https://github.com/decalage2/oletools
• MalwareBazaar：https://bazaar.abuse.ch
• REMnux 文档：https://docs.remnux.org

作者

Mofolorunsho Adeleke GitHub：https://github.com/Mo200909