본문 바로가기
728x90

vba

[Spear-Phishing] Malicious MS-Office Document Word VBA Macro Analysis
정보보안/Spear-Phishing 2023. 8. 31. [Spear-Phishing] Malicious MS-Office Document Word VBA Macro Analysis 1. Word ms 오피스 워드파일을 분석해본다. 2. Triage and VBA Analysis 먼저 file 명령어를 통해 파일의 속성을 확인한다. CDF, ole 파일 형식을 사용하는 MS 워드 문서다. yara룰을 통해 대상파일을 분석해보자. -w옵션은 경고문구의 비활성화, -m은 yara룰 설명, 메타데이터 출력, -s옵션은 룰과 일치된 문자열 출력, -g 옵션은 yara룰 태그값 출력이다. vba 코드에 포함되는 문서와 대치되었다. 매크로가 실행되면 로컬 자원에 접근 가능하므로 악용할 수 있다. 따라서 매크로를 이상징후로 포함할 수 있다. oleid를 사용하여 재확인해보자. vba 매크로가 포함되었다고 나온다. 이제 olevba로 조사해보자. olevba는 난독화의 디코딩, 키워드탐지, 침해지..
[Spear-Phishing] Malicious MS-Office Document XLSB VBA Macro Analysis
정보보안/Spear-Phishing 2023. 8. 30. [Spear-Phishing] Malicious MS-Office Document XLSB VBA Macro Analysis 1. XLSB Structure OOXML/Open Pakaging Conventions(OPC) Binary 형태 파일로 스프레드시트 데이터를 저장 빠르게 읽고 쓸 수 있다. zip 기반 content types.xml은 패키지 파트의 내용 타입의 목록을 가진다. package 파일의 연관성을 가지는 Rels파일과, OOXML문서에 관련된 특성을 포함하는 app.xml/core.xml파일도 있다. xl 디렉토리에는 레이아웃등의 구성요소가 기능별로 나뉘어져 저장된다. 2. File Analysis 먼저 oleid를 통해 분석해보자. Risk가 High 수준의 VBA Macro가 들어있다. strings를 통해 문자열을 추출해보자. 문자열을 txt 파일로 저장해 powershell 코드 혹은 C2 도메인 ..
728x90

티스토리툴바