搜索

[14098] 2019-05-12_揭秘如何使用跨平台的EvilClippy创建恶意MSOffice文档

文档创建者：s7ckTeam
浏览次数：19
最后更新：2025-01-18
2019-05-12_揭秘如何使用跨平台的EvilClippy创建恶意MSOffice文档 揭 秘 如 何 使 用 跨 平 台 的 E v i l C l i p p y 创 建 恶 意 M S   O f f i c e 文 档 A l p h a _ h 4 c k   F r e e B u f   2 0 1 9 - 0 5 - 1 2 * 严 正 声 明 ： 本 文 仅 限 于 技 术 讨 论 与 分 享 ， 严 禁 用 于 非 法 途 径 。 严 正 声 明 ： 本 文 仅 限 于 技 术 讨 论 与 分 享 ， 严 禁 用 于 非 法 途 径 。 今 天 给 大 家 介 绍 的 是 一 款 名 叫 今 天 给 大 家 介 绍 的 是 一 款 名 叫 E v i l C l i p p y 的 开 源 工 具 ， 的 开 源 工 具 ， E v i l C l i p p y 是 一 款 专 用 于 创 建 恶 意 是 一 款 专 用 于 创 建 恶 意 M S   O f f i c e 测 试 文 档 的 测 试 文 档 的 跨 平 台 安 全 工 具 ， 它 可 以 隐 藏 跨 平 台 安 全 工 具 ， 它 可 以 隐 藏 V B A 宏 和 宏 和 V B A 代 码 ， 并 且 可 以 对 宏 代 码 进 行 混 淆 处 理 以 增 加 宏 分 析 工 具 的 分 析 难 代 码 ， 并 且 可 以 对 宏 代 码 进 行 混 淆 处 理 以 增 加 宏 分 析 工 具 的 分 析 难 度 。 当 前 版 本 的 度 。 当 前 版 本 的 E v i l C l i p p y 支 持 在 支 持 在 L i n u x 、 、 m a c O S 和 和 W i n d o w s 平 台 上 运 行 ， 实 现 了 跨 平 台 特 性 。 平 台 上 运 行 ， 实 现 了 跨 平 台 特 性 。 功 能 介 绍 功 能 介 绍 1 、   在 G U I 编 辑 器 中 隐 藏 V B A 宏 ； 2 、   混 淆 安 全 分 析 工 具 ； 3 、   V B A   S t o m p i n g ； 4 、   引 入 V B A   P - C o d e 伪 编 码 ； 5 、   设 置 远 程 V B A 项 目 锁 定 保 护 机 制 ； 6 、   通 过 H T T P 提 供 V B A   S t o m p e d 模 板 ； 工 具 效 果 工 具 效 果 目 前 ， 该 工 具 生 成 的 默 认 C o b a l t   S t r i k e 宏 可 以 绕 过 所 有 主 流 的 反 病 毒 产 品 以 及 宏 分 析 工 具 。 技 术 分 析 技 术 分 析 E v i l C l i p p y 使 用 了 O p e n M C D F 库 来 修 改 M S   O f f i c e 的 C F B F 文 件 ， 并 利 用 了 M S - O V B A 规 范 和 特 性 。 该 工 具 重 用 了 部 分 K a v o d . V B A . C o m p r e s s i o n 代 码 来 实 现 压 缩 算 法 ， 并 且 使 用 了 M o n o   C # 编 译 器 实 现 了 在 L i n u x 、 m a c O S 和 W i n d o w s 平 台 上 的 完 美 运 行 。
工 具 安 装 工 具 安 装 注 ： 跨 平 台 编 译 代 码 可 以 在 该 项 目 的 r e l e a s e s 页 面 下 获 取 。 m a c O S 和 和 L i n u x 确 保 安 装 了 M o n o ， 然 后 运 行 下 列 命 令 ： 然 后 运 行 E v i l C l i p p y ： W i n d o w s 确 保 安 装 了 V i s u a l   S t u d i o ， 然 后 在 V i s u a l   S t u d i o 开 发 者 命 令 行 窗 口 中 输 入 下 列 命 令 ： 然 后 在 命 令 行 中 运 行 E v i l C l i p p y ： 工 具 使 用 工 具 使 用 显 示 帮 助 信 息 在 G U I 中 隐 藏 宏 V B A   S t o m p （ P - C o d e 伪 编 码 ） 为 V B A   S t o m p i n g 设 置 目 标 O f f i c e 版 本 信 息 设 置 随 机 模 块 名 （ 混 淆 安 全 分 析 工 具 ） 通 过 H T T P 提 供 V B A   S t o m p 模 板 ； 设 置 远 程 V B A 项 目 锁 定 保 护 解 除 保 护 ： m c s / r e f e r e n c e : O p e n M c d f . d l l , S y s t e m . I O . C o m p r e s s i o n . F i l e S y s t e m . d l l / o u t : E v i l C l i p p y . e x e   * . c s m o n o   E v i l C l i p p y . e x e   – h c s c / r e f e r e n c e : O p e n M c d f . d l l , S y s t e m . I O . C o m p r e s s i o n . F i l e S y s t e m . d l l / o u t : E v i l C l i p p y . e x e   * . c s E v i l C l i p p y . e x e   – h E v i l C l i p p y . e x e   – h E v i l C l i p p y . e x e   - g   m a c r o f i l e . d o c E v i l C l i p p y . e x e   - s   f a k e c o d e . v b a   m a c r o f i l e . d o c E v i l C l i p p y . e x e   - s   f a k e c o d e . v b a   - t   2 0 1 6 x 8 6   m a c r o f i l e . d o c E v i l C l i p p y . e x e   - r   m a c r o f i l e . d o c E v i l C l i p p y . e x e   - s   f a k e c o d e . v b a   - w   8 0 8 0   m a c r o f i l e . d o t E v i l C l i p p y . e x e   - u   m a c r o f i l e . d o c E v i l C l i p p y . e x e   - u u   m a c r o f i l e . d o c
项 目 地 址 项 目 地 址 E v i l C l i p p y ： h t t p s : / / g i t h u b . c o m / o u t f l a n k n l / E v i l C l i p p y 参 考 资 料 参 考 资 料 1 、 h t t p s : / / o u t f l a n k . n l / b l o g / 2 0 1 8 / 1 0 / 2 8 / r e c o r d i n g s - o f - o u r - d e r b y c o n - a n d - b r u c o n - p r e s e n t a t i o n s / 2 、 h t t p s : / / v b a s t o m p . c o m / 3 、 h t t p s : / / g i t h u b . c o m / b o n t c h e v / p c o d e d m p * 参 考 来 源 ： 参 考 来 源 ： o u t f l a n k n l ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 推 荐 阅 读
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理