简单易用的工具,用于生成混淆宏,并包含反病毒/沙箱逃逸机制。
Python 2.7
MMG.Malicious Macro Generator v2.0 - RingZer0 Team
Author: Mr.Un1k0d3r [email protected]
Usage: MMG.py [config] [output] (optional parameters)
[config] Config file that contain generator information
[output] Output filename for the macro
-l --list List of all available payloads and evasion techniques
-s --split_strings Randomly split strings at parts
-x --strings_to_hex Encode strings to hex
python MMG.py configs/generic-cmd.json malicious.vba
项目配置文件的示例。
{
"description": "Generic command exec payload\nEvasion technique set to domain check",
"template": "templates/payloads/generic-cmd-evasion-template.vba",
"varcount": 150,
"encodingoffset": 4,
"chunksize": 200,
"encodedvars": {
"DOMAIN":"RINGZER0"
},
"vars": [],
"evasion": ["encoder", "domain"],
"payload": "cmd.exe /c whoami"
}
宏会获取 USERDOMAIN 环境变量,并将其与预定义的值进行比较。如果匹配,则执行最终载荷。
宏会检查总磁盘空间。虚拟机和测试机器通常使用较小的磁盘。
宏会检查总内存大小。虚拟机和测试机器使用的资源较少。
宏会检查系统运行时间。沙箱通常返回较短的上次运行时间。
宏会检查特定进程是否正在运行(例如 outlook.exe)。
Python 脚本还会生成混淆代码,以避免启发式检测。
Mr.Un1k0d3r RingZer0 Team