Saturday, September 2, 2017
Utilidad para generar macros maliciosas MMG
Utilidad para generar macros maliciosas MMG
Mr.Un1k0d3r del RingZer0 Team nos trae MMG (Malicious Macro Generator) una sencilla pero �til herramienta en Python dise�ada para generar macros ofuscadas que tambi�n incluyen un mecanismo de escape de AV/Sandboxes. Las t�cnicas de evasi�n que implementa actualmente son:
- Comprobaci�n de dominio: la macro chequea la variable de entorno USERDOMAIN y compara el valor con uno predefinido. Si coinciden el payload se ejecuta.
- Comprobaci�n de disco: la macro comprueba el espacio total en disco total. Las m�quinas virtuales y las m�quinas para pruebas utilizan discos peque�os la mayor�a del tiempo.
- Comprobaci�n de memoria: la macro revisa el tama�o de memoria total. Las VMs y las m�quinas para pruebas utilizan menos recursos.
- Comprobaci�n del tiempo de actividad: la macro est� supervisando el tiempo de actividad del sistema. Los sandboxes devolver�n un tiempo de actividad corto.
- Comprobaci�n de procesos: la macro comprueba si se est� ejecutando un proceso espec�fico (ejemplo outlook.exe)
- Ofuscaci�n: el script python tambi�n generar� c�digo ofuscado para evitar la detecci�n heur�stica
Requiere s�lo Python 2.7 y su uso es bastante sencillo. S�lo tenemos que indicar el fichero de configuraci�n en formato json y el nombre de la macro:
python MMG.py configs/generic-cmd.json malicious.vba
height="162"
La macro resultante malicious.vba:
Y el fichero de config:
Proyecto: https://github.com/Mr-Un1k0d3r/MaliciousMacroGenerator
- Comprobaci�n de dominio: la macro chequea la variable de entorno USERDOMAIN y compara el valor con uno predefinido. Si coinciden el payload se ejecuta.
- Comprobaci�n de disco: la macro comprueba el espacio total en disco total. Las m�quinas virtuales y las m�quinas para pruebas utilizan discos peque�os la mayor�a del tiempo.
- Comprobaci�n de memoria: la macro revisa el tama�o de memoria total. Las VMs y las m�quinas para pruebas utilizan menos recursos.
- Comprobaci�n del tiempo de actividad: la macro est� supervisando el tiempo de actividad del sistema. Los sandboxes devolver�n un tiempo de actividad corto.
- Comprobaci�n de procesos: la macro comprueba si se est� ejecutando un proceso espec�fico (ejemplo outlook.exe)
- Ofuscaci�n: el script python tambi�n generar� c�digo ofuscado para evitar la detecci�n heur�stica
python MMG.py configs/generic-cmd.json malicious.vba
height="162" La macro resultante malicious.vba:
Y el fichero de config:
Proyecto: https://github.com/Mr-Un1k0d3r/MaliciousMacroGenerator
download file now
