From 58cae4be695a67167cef8fbfd293938466a8c1af Mon Sep 17 00:00:00 2001 From: mether049 Date: Fri, 20 Mar 2020 05:15:46 +0900 Subject: [PATCH] Update malware-tech_ref_and_memo.md --- malware-tech_ref_and_memo.md | 41 ++++++++++++++++++++++++++++++++++++ 1 file changed, 41 insertions(+) diff --git a/malware-tech_ref_and_memo.md b/malware-tech_ref_and_memo.md index d4ab906..01f934b 100644 --- a/malware-tech_ref_and_memo.md +++ b/malware-tech_ref_and_memo.md @@ -433,6 +433,47 @@ New-Object System.IO.Compression.DeflateStream([iO.mEmoRySTream] [sysTEM.ConVert dig -t txt o-o.myaddr.l.google.com @8.8.8.8 # TXT record dig whoami.akamai.net @ns1-1.akamaitech.net ``` +# maldoc +## Obfuscation/Encryption +- ドキュメントテキスト，スプレッドシートのセル，ファイルプロパティ，VBA forms,etc.の中にデータを隠す +- [Variable Object(Word)](https://msdn.microsoft.com/library/office/ff839708.aspx)の利用 +- [CallByName関数](https://msdn.microsoft.com/en-us/library/office/gg278760.aspx)の利用 +- ファイルの暗号化(Office 2007 or later) + - VelvetSweatshopの利用(Only Excel) + - ExcelでパスワードにVelvetSweatshopを設定して暗号化すると，パスワード入力要求を表示せずにファイルを開くことができる + - VelvetSweatshopはExcelのデフォルトパスワードとして利用されており，まずこのパスワードを利用してファイルを復号しようと試みる + - LibreOfficeでも同様 +- [VBad](https://github.com/Pepitoh/VBad)の利用 + - VBAの難読化・暗号化ツール + - 関数名や文字列の難読化，暗号化 + - Tab,Spaceの削除 + - 偽の鍵の追加 + - 異なるハッシュ値のファイル生成 + - VBA Developper Toolからの隠蔽 + - ref: + - [Re: Hidden malicious modules in MS VBA (Visual Basic for Applications](https://seclists.org/fulldisclosure/2017/Mar/90) +## VBA Stomping +- VBAソースコードを削除し，VBAコードをコンパイルしたp-code(中間コード)のみファイル内に残す +- VBAソースコードによる検出を回避する +- VBAのソースコードは0クリアして削除可能 +- p-codeに対してはdebuggerでの解析が困難 +- [EvilClippy](https://github.com/outflanknl/EvilClippy) + - VBA Stompingを行うツール + - Locked / Unviewable属性の設定や削除も可能（保護機能） +- ref: + - [VBA Stomping — Advanced Maldoc Techniques](https://medium.com/walmartlabs/vba-stomping-advanced-maldoc-techniques-612c484ab278) + - [Example VBA Stomped Documents Repository](https://github.com/clr2of8/VBAstomp) + - [VBA Project Locked; Project is Unviewable](https://medium.com/walmartlabs/vba-project-locked-project-is-unviewable-4d6a0b2e7cac) +- Execution of another process +- WMI +- PowerShell +- cmd.exe +- VBS,JavaScript(cscript,wscript,mshta) +- shell code +- ref: +- [17JAN2017 - Abusing native Windows functions for shellcode execution](http://ropgadget.com/posts/abusing_win_functions.html) +- [Evasive VBA — Advanced Maldoc Techniques](https://medium.com/walmartlabs/evasive-vba-advanced-maldoc-techniques-1365e9373f80) + # Shell Backdoor - Web Shell等