SauronEye

SauronEye SauronEye is a search tool built to aid red teams in finding files containing specific keywords. Features : Search multiple network drives Search contents of files Search contents of Microsoft Office files .doc, .docx, .xls, .xlsx Find VBA macros in old 2003 .xls and .doc files Search...

refinery

Binary Refinery docs tests codecov pypi High Octane Triage Analysis || || || || || | / / / \ || ==||=====|| | / |/ \ /==| / \ ===| '======|| | \ | | \ | \ /| | || || /||/ / | | | || =========''====/=========/ /==||=====||======' \ / / The Binary Refinery™ is a collection of Python scripts...

EvilClippy

This tool was released during our BlackHat Asia talk March 28, 2019. A video recording of this talk is available at https://www.youtube.com/watch?v=9ULzZA70Dzg. Evil Clippy A cross-platform assistant for creating malicious MS Office documents. Can hide VBA macros, stomp VBA code via P-Code and...

PackMyPayload

PackMyPayload - 컨테이너화된 악성코드의 새로운 위협 지원 형식으로 이동 이 도구는 입력으로 파일이나 디렉터리를 받아 이를 보관/컨테이너 역할을 하는 출력 파일에 포함시킵니다. 컨테이너 파일 형식에 포함된 악성코드의 새로운 위험을 제시하는 Proof-of-Concept 용도로 사용할 수 있으며, 전문 레드팀 운영자가 초기 접근Initial Access 전략을 강화하는 데 도움을 줍니다. 현재 위협 행위자들은 다양한 컨테이너 파일 형식으로 보관된 악성코드를 밀반입하는 것으로 알려져 있으며, 그 예로는 다음과 같습니다:...

oletools

python-oletools oletools는 Microsoft OLE2 파일구조화 저장소, 복합 파일 바이너리 형식 또는 복합 문서 파일 형식이라고도 함예: Microsoft Office 97-2003 문서, MSI 파일, Outlook 메시지을 분석하기 위한 Python 도구 패키지로, 주로 악성코드 분석, 포렌식 및 디버깅에 사용됩니다. olefile 파서를 기반으로 합니다. 또한 OpenXML 형식일명 OOXML을 기반으로 하는 파일예: MS Office 2007+ 문서, XPS 또는 MSIX 파일 및 RTF 파일을...

BadAssMacros

BadAssMacros 설명 VBA 퍼징 및 셸코드 난독화와 같은 기술을 활용하여 AV 엔진을 회피하는 악성 매크로를 생성하는 개념 증명 도구입니다. 이 도구는 Metasploit, Cobalt Strike 등 인기 있는 C2 프레임워크에서 생성할 수 있는 원시 셸코드를 입력받아 VBA 매크로를 출력합니다. 또한 악성 doc/excel 파일을 생성된 VBA 코드가 포함된 상태로 준비하여 VBA 퍼징을 수행합니다. 현재 기능 BadAssMacros의 현재 기능은 다음과 같습니다. 클래식 VBA 셸코드 인젝션 간접 VBA 셸코드...

MaliciousMacroGenerator

악성 매크로 생성기 유틸리티 난독화된 매크로를 생성하고 AV/샌드박스 회피 메커니즘을 포함하는 간단한 유틸리티입니다. 요구 사항 Python 2.7 사용법 MMG.Malicious Macro Generator v2.0 - RingZer0 Team Author: Mr.Un1k0d3r [email protected] Usage: MMG.py config output optional parameters config Config file that contain generator information output Output...

OffensiveVBA

OffensiveVBA VBS AV 우회 스트리밍/비디오를 준비하면서 Office 매크로 코드 실행 방법과 우회 기법을 조사하고 있었습니다. 목록이 점점 길어졌고, 공격용 VBA 템플릿을 모아놓은 중앙 저장소가 없어서 이 저장소를 만들게 되었습니다. 아직 완성과는 거리가 멉니다. 다른 멋진 기법이나 유용한 템플릿을 알고 계시다면 기여해 주시고 풀 리퀘스트를 생성해 주세요! 이 저장소에 있는 대부분의 템플릿은 이미 어딘가에 공개된 것들입니다. 저는 대부분의 템플릿을 ms-docs 사이트, 블로그 글 또는 다른 도구에서 복사해서...

wePWNise

wePWNise wePWNise는 Office 매크로나 템플릿에서 사용할 수 있는 VBA 코드를 생성하는 개념 증명 Python 스크립트입니다. 이 도구는 자동화와 통합을 염두에 두고 설계되었으며, 제한된 환경 시나리오를 대상으로 합니다. 이 도구는 소프트웨어 제한 정책SRP과 EMET 완화 조치를 열거하고, 페이로드를 주입할 안전한 바이너리를 동적으로 식별합니다. wePWNise는 기존의 익스플로잇 프레임워크예: Metasploit, Cobalt Strike와 통합되며, 원시 형식의 사용자 정의 페이로드도 허용합니다. 사전 ...

VBA-macro-experiments

VBA 매크로 실험들 트위터 / 블로그에 공개한 VBA 매크로 모음입니다. 이 주제에 관심이 있다면 "Hacking in an epistolary way: implementing kerberoast in pure VBA" 및 "Shedding light on creating VBA macros" 문서를 읽어보세요. 또한 트위터를 팔로우해 주세요 ; @AdeptsOf0xCC 매크로| 설명 ---|--- EDRHookDetector.vba| EDR이 만든 사용자 영역 후크 탐지 chrome-export-masterkey.vba|...

vba2clr

TLDR: VBA에서 AccessVBOMVisual Basic 프로젝트에 대한 프로그래밍 방식 액세스가 신뢰되지 않음을 우회한 후 AppDomain.ExecuteAssembly 또는 기타 편리한 방법을 사용하여 CLR.NET 어셈블리를 VBA에 로컬 및 원격으로 로드하는 다양한 방법을 실험하고 있습니다. vba2clr..vba: AccessVBOM 레지스트리 키를 1로 설정합니다. Word.Application COM 개체를 인스턴스화합니다. Excel.Application, MS PowerPoint, Access 등이 될 수...

vbSparkle

vbSparkle이란 무엇인가? vbSparkle 는 부분 평가partial-evaluation에 기반한 소스-투-소스 멀티 플랫폼 Visual Basic 난독화 해제 도구deobfuscator 로, 주로 VBScript 및 VBAOffice 매크로로 작성된 악성 코드 분석에 중점을 둡니다. 네이티브 C으로 작성되었으며 .Net Standard 라이브러리 를 제공하고 Windows, Linux, MacOS 등에서 동작합니다. VBScript 및 VBA의 파싱은 ANTLR 문법grammar 및 렉서lexer 파서를 통해 처리됩니...

malware-samples

악성코드 샘플 이 저장소는 다양한 악성 파일 및 기타 아티팩트에 대한 접근을 제공하기 위한 것입니다. 모든 샘플은 비밀번호로 보호된 ZIP 아카이브에 있으며, 비밀번호는 infected 입니다. 악성코드 분석 실습 샘플에서 아티팩트를 제공하는 것 외에도, 정기적으로 악성코드 분석 실습을 게시할 예정입니다. 이 실습은 다양한 악성코드 분석 주제를 다루며, 상세한 해결 방법과 워크스루가 포함되어 있습니다. 2022 10월: VBA 매크로에서 셸코드 실행 추적 2021 12월: Maldocs - Python을 사용한 다운로드 URL...

VBA-RunPE

VBA RunPE Description A simple yet effective implementation of the RunPE technique in VBA. This code can be used to run executables from the memory of Word or Excel. It is compatible with both 32 bits and 64 bits versions of Microsoft Office 2010 and above. More info here:...

Ivy

이 저장소는 보관되었습니다 Ivy의 최신 버전을 보거나 이슈를 제출하려면 https://github.com/Tylous/Ivy를 참조하십시오. 추가 정보 이 프레임워크에서 사용된 기술과 이를 방어하기 위한 방어 조치에 대해 더 알아보려면 Article을 참조하십시오. 설명 Ivy는 메모리에서 임의의 VBA매크로 소스 코드를 실행하기 위한 페이로드 생성 프레임워크입니다. Ivy의 로더는 VBA 객체 환경의 프로그래밍 접근을 악용하여 셸코드를 로드, 복호화 및 실행합니다. 이 기술은 진정한 파일리스fileless에 최대한 가깝습니...

AMSI-Bypass

AMSI-Bypass AMSI 트리거 목록 VBA, JScript / VBScript 참고 : MISC 104 - AMSI: Fonctionnement et Contournements VBA, JScript 및 VBScript에서 AMSI는 순환 버퍼를 사용하여 명령을 기록하고 의심스러운 것으로 간주되는 함수 목록을 유지합니다. 블랙리스트에 등록된 함수 중 하나를 사용하면 등록된 AMSI 공급자가 순환 버퍼에 대한 검사를 트리거합니다. 이 저장소에는 VBE7.DLL, jscript.dll 및 vbscript.dll에 정의된...

Ring0VBA

Ring0VBA CVE-2018-6606 VBA 사용 - https://disrel.com/posts/Ring0VBA-Getting-Ring0-Using-a-Goddamn-Word-Document/...

Multiple Cisco Products Snort 3 Visual Basic for Applications DoS Vulnerabilities (cisco-sa-ftd-snort3-vbavuls-96UcVVed_CVE-2026-20058)

According to its self-reported version, Cisco ASA Software is affected by a vulnerability. - Multiple Cisco products are affected by vulnerabilities in the Snort 3 VBA feature that could allow an unauthenticated, remote attacker to cause the Snort 3 Detection Engine to crash. These vulnerabilitie...

CVE-2026-20054

Multiple Cisco products are affected by a vulnerability in the Snort 3 VBA feature that could allow an unauthenticated, remote attacker to cause the Snort 3 Detection Engine to crash. This vulnerability is due to improper error checking when decompressing VBA data. An attacker could exploit this...

CVE-2026-20058

Multiple Cisco products are affected by vulnerabilities in the Snort 3 VBA feature that could allow an unauthenticated, remote attacker to cause the Snort 3 Detection Engine to crash. These vulnerabilities are due to improper error checking when decompressing VBA data. An attacker could exploit...