EvilClippy

このツールは、BlackHat Asia での講演（2019年3月28日）に合わせて公開されました。講演の録画は https://www.youtube.com/watch?v=9ULzZA70Dzg でご覧いただけます。 Evil Clippy 悪意のあるMS Office文書を作成するためのクロスプラットフォームアシスタント。VBAマクロの隠蔽、VBAコードのスタンピング（P-Code経由）、マクロ解析ツールの混乱を引き起こします。Linux、OSX、Windowsで動作します。 このツールに初めて触れる方は、まずEvil Clippyに関するブログ記事をご一読ください：...

BadAssMacros

BadAssMacros 説明 VBAパージングやシェルコード難読化などの技術を活用してAVエンジンを回避する悪意あるマクロを生成するための概念実証ツールです。 このツールは、MetasploitやCobalt Strikeなどの一般的なC2フレームワークで生成できるRAWシェルコードを入力として、VBAマクロを出力します。 このツールは、生成されたVBAコードが埋め込まれた悪意あるdoc/excelファイルを入力として受け取り、VBAパージングを実行します。 現在の機能 BadAssMacrosの現在の機能は以下の通りです。 クラシックVBAシェルコードインジェクション...

MaliciousMacroGenerator

Malicious Macro Generator ユーティリティ 簡単なユーティリティで、難読化されたマクロを生成し、AV / サンドボックス回避メカニズムも含んでいます。 必要条件 root@kitploit: Python 2.7 使い方 root@kitploit: MMG.Malicious Macro Generator v2.0 - RingZer0 Team Author: Mr.Un1k0d3r [email protected] Usage: MMG.py config output optional parameters config Config fil...

SauronEye

SauronEye SauronEyeは、レッドチームが特定のキーワードを含むファイルを見つけるための検索ツールです。 特徴 : 複数の（ネットワーク）ドライブを検索 ファイルの内容を検索 Microsoft Officeファイル（.doc、.docx、.xls、.xlsx）の内容を検索 古い2003形式の.xlsおよび.docファイル内のVBAマクロを検出 パフォーマンス向上のため、複数ドライブをマルチスレッドで検索 検索キーワードに正規表現をサポート Cobalt Strikeのexecute-assemblyと互換性あり...

oletools

python-oletools oletools is a package of python tools to analyze Microsoft OLE2 files also called Structured Storage, Compound File Binary Format or Compound Document File Format, such as Microsoft Office 97-2003 documents, MSI files or Outlook messages, mainly for malware analysis, forensics and...

oletools

python-oletools oletools は、主にマルウェア解析、フォレンジック、デバッグを目的として、 Microsoft OLE2ファイル （構造化ストレージ、Compound File Binary Format、またはCompound Document File Formatとも呼ばれる）、 （例：Microsoft Office 97-2003文書、MSIファイル、Outlookメッセージなど）を解析するためのPythonツール群です。 これは、olefileパーサーに基づいています。 また、RTFファイルや、MS Office...

OffensiveVBA

OffensiveVBA VBS AV Evasion Stream/Videoの準備として、Officeマクロのコード実行手法と回避テクニックについて調査していました。 リストはどんどん長くなり、攻撃的なVBAテンプレートの中央集約的な場所が見つからなかったため、このリポジトリをそのような用途に利用できます。まだ完全にはほど遠いです。他にクールなテクニックや便利なテンプレートをご存知でしたら、ぜひコントリビュートしてプルリクエストを作成してください！...

PackMyPayload

PackMyPayload - 容器化恶意软件的新兴威胁 跳转到支持的格式 该工具接收文件或目录作为输入，并将其嵌入到充当归档/容器的输出文件中。它可作为概念验证，展示容器文件格式与嵌入恶意软件的新兴风险，同时作为专业红队操作员的助手，以优化其初始访问策略。 目前已知威胁行为者通过多种容器文件格式走私恶意软件，例如： 7zip zip ISO IMG 他们这样做是为了让有效载荷绕过文件内容扫描器，但更重要的是避免在其文件上留下“网络标记”标志 。攻击者不希望在其文件上出现 MOTW 的原因有多种：Microsoft Office 中的受保护视图 一直是其中之一。...

wePWNise

wePWNise wePWNise は、Office マクロやテンプレートで使用可能な VBA コードを生成する概念実証の Python スクリプトです。自動化と統合を念頭に設計されており、ロックダウンされた環境のシナリオを対象としています。このツールは、ソフトウェア制限ポリシー SRP と EMET の緩和策を列挙し、安全なバイナリを動的に識別してペイロードを注入します。wePWNise は、既存のエクスプロイトフレームワーク Metasploit、Cobalt Strike など と統合し、任意のカスタムペイロードを raw 形式で受け入れます。 前提条件 Python の...

VBA-macro-experiments

VBA 宏实验 我们在 twitter / 博客上发布的 VBA 宏合集。 如果你对这个话题感兴趣，请阅读我们的文章「以书信体方式进行黑客攻击：用纯 VBA 实现 kerberoast」和「详解 VBA 宏的创建」。也欢迎关注我们的 twitter ; @AdeptsOf0xCC 宏| 描述 ---|--- EDRHookDetector.vba| 检测 EDR 安装的用户态钩子 chrome-export-masterkey.vba| 导出 Chrome（80+ 版本）中用于加密密码的主密钥 kerberoast.vba| Kerberoast 实现...

vba2clr

摘要: 只是尝试使用 AppDomain.ExecuteAssembly 或其他任何方便的方法，在绕过 VBA 中的 AccessVBOM（对 Visual Basic 项目的编程访问不受信任）之后，以本地和远程方式在 VBA 中加载 CLR（.NET）程序集。 vba2clr..vba: 将 AccessVBOM 注册表项设置为 1 实例化一个 Word.Application COM 对象（可以是 Excel.Application、MS PowerPoint、Access 等）。 从字符串添加宏（宏对应于 b64/hex 编码的 ExecuteAssembly.vba） 使用...

vbSparkle

什么是 vbSparkle？ vbSparkle 是一个基于部分求值（partial-evaluation）的跨平台 Visual Basic 反混淆器 ，主要致力于分析使用 VBScript 和 VBA（Office 宏）编写的恶意代码。 它使用原生 C 编写，提供 .Net Standard 库 ，并可在 Windows、Linux、MacOS 等系统上运行。 Visual Basic Script 和 VBA 的解析通过使用 ANTLR 语法和词法解析器完成。 安装 包管理器 Install-Package vbSparkle .Net CLI dotnet add package...

malware-samples

恶意软件样本 本仓库旨在提供对各种恶意文件及其他工件的访问。 所有样本均存放在受密码保护的 ZIP 压缩包中，密码为： infected 恶意软件分析练习 除了提供样本中的工件外，我还会定期发布恶意软件分析练习。这些练习涵盖广泛的恶意软件分析主题，并附带详细的解决方案与分步讲解。 2022 十月：追踪 VBA 宏中的 Shellcode 执行 2021 十二月：Maldocs - 使用 Python 自动提取下载 URL 二月：Maldocs - Excel 4 宏（XLM 宏）入门 八月：Javascript - 去混淆 Turla JS 后门 2020 十二月：Maldocs - 使...

VBA-RunPE

VBA RunPE 説明 VBA で RunPE テクニックをシンプルかつ効果的に実装したものです。このコードを使用すると、Word または Excel のメモリから実行可能ファイルを実行できます。Microsoft Office 2010 以降の 32 ビット版と 64 ビット版の両方に対応しています。 詳細はこちら: https://itm4n.github.io/vba-runpe-part1/ https://itm4n.github.io/vba-runpe-part2/ 使用方法 1 - ディスク上の PE ファイル 1. コード末尾の Exploit...

Ivy

このリポジトリはアーカイブされました Ivyの最新バージョンを表示したり、問題を報告するには、https://github.com/Tylous/Ivy を参照してください。 詳細情報 このフレームワークで使用されている手法や、それに対する防御策について詳しく知りたい場合は、記事をご覧ください。 説明...

AMSI-Bypass

AMSI-Bypass Listas de disparadores de AMSI VBA, JScript / VBScript Referencia : MISC 104 - AMSI: Fonctionnement et Contournements En VBA, JScript y VBScript, AMSI usa un búfer circular para registrar instrucciones y una lista de funciones consideradas sospechosas. El uso de una de esas funciones ...

Ring0VBA

Ring0VBA 使用 VBA 的 CVE-2018-6606 - https://disrel.com/posts/Ring0VBA-Getting-Ring0-Using-a-Goddamn-Word-Document/...

Multiple Cisco Products Snort 3 Visual Basic for Applications DoS Vulnerabilities (cisco-sa-ftd-snort3-vbavuls-96UcVVed_CVE-2026-20058)

According to its self-reported version, Cisco ASA Software is affected by a vulnerability. - Multiple Cisco products are affected by vulnerabilities in the Snort 3 VBA feature that could allow an unauthenticated, remote attacker to cause the Snort 3 Detection Engine to crash. These vulnerabilitie...

CVE-2026-20054

Multiple Cisco products are affected by a vulnerability in the Snort 3 VBA feature that could allow an unauthenticated, remote attacker to cause the Snort 3 Detection Engine to crash. This vulnerability is due to improper error checking when decompressing VBA data. An attacker could exploit this...

CVE-2026-20058

Multiple Cisco products are affected by vulnerabilities in the Snort 3 VBA feature that could allow an unauthenticated, remote attacker to cause the Snort 3 Detection Engine to crash. These vulnerabilities are due to improper error checking when decompressing VBA data. An attacker could exploit...