ماکروها (Macro) یکی از کاربردی ترین روش های مورد استفاده توسط هکرها جهت اجراسازی و توزیع کد های مخرب،بدافزارها، کرم ها و نقض های امنیتی میباشد که تاريخچه این موضوع به سال 1990 برمیگردد و در این سال بود که سو استفاده از ماکروها (Macro) شروع شد اما با گذشت زمان کوتاهی و آموزش کاربران برای مقابله با این نوع حملات به راحتی جلوی این سو استفاده ها گرفته شد. دراصل این روش بدین شکل میباشد که با استفاده از زبان VBScript و و نوشتن ماکرو (Macro) در فایل های Microsoft Office (مانند فایل های Excel و Word) سبب انتشار و توزیع بد افزارها و کدهای مخرب میشوند.
امروزه با افزایش حملات سایبری و پیچیده تر شدن تکنیک‌های مورد استفاده و همچنین بکارگیری مواردی مانند Social Engineering یا همان مهندسی معکوس این نوع حملات دوباره روی کار آمده اند و بر روی بدافزارهای متنوعی استفاده از اینهارا میبینیم.
توجه داشته باشید که خوده ویژگی ماکرو (Macro) یک ویژگی خوب در مجموعه نرم افزارهای Microsoft Office میباشد که به جهت جلوگیری از تکرار یک موضوع استفاده میشود بدین شکل که اگر قرار باشد یک فرآیند به واسطه موس و صفحه کلید انجام شود به جهت اینکه این فرآيند قرار است چندبار انجام شود به راحتی میتوانیم با نوشتن ماکرو (Macro) اینکار را ساده تر و خودکارسازی کنیم که نظیر استفاده از ماکرو (Macro) هارا در نرم افزارهای مانند Word و Excel میبینیم.
توجه کنید زمانی که ماکرو (Macro) زمانی که به جای استفاده از موارد سالم از موارد ناسالم به جهت دانلود و راه اندازی یک بدافزار یا یک کرم استفاده شود یا به جهت اجرای یک فرآیند مخرب مورد استفاده قرار بگیرد به عنوان یک بدافزار ماکرو (Macro) شناسایی میشود.
این بدافزار ماکرو (Macro) به راحتی میتوانند در قالب فایل های Excel و Word بر روی سیستم شما قرار بگیرند و با دادن یک دسترسی اجرایی به راحتی فرآیند و عملیات مورد نظرشان را پیاده سازی کنند.
بدافزار Ursnif که به عنوان یک تروجان بانکی شناخته میشود در فرآيند توزیع و آلوده سازی سیستم یک سری مراحل را طی میکند که به اصطلاح به این مراحل میگیم Distribution Method که در تصویر زیر دارید میبینید:
اگر توجه کنید در تصویر بالا یک MalSpam (یک ایمیل Spam و مخرب) به کاربر ارسال میشود.
زمانی که این ایمیل ارسال میشود حاوی یک فایل Zip هست که با رمز عبور محافظت میشود.
در این فایل Zip یک فایل Excel وجود دارد زمانی که باز شود و ماکروهای (Macro) آن فعال شوند
در این زمان شروع به زدن درخواست های جهت دریافت فایل Exe مربوط به Ursnif میکند. این درخواست ها و این ترافیک هارا در تصویر زیر میبینیم:
برای پیاده سازی این حمله که دراصل به جهت ایجاد یک بدافزار ماکرو (Macro) میباشد ما به سراغ Metasploit میرویم و وارد ماژول Reverse HTTPS میشویم جهت ایجاد یک Payload از نوع Meterpreter
عبارت Show Options را مینویسیم و Enter میزنیم
در موارد بالا ما باید قسمت LHOST را برابر با آدرس IP سیستم لینوکسی خودمان و LPORT را برابر با یک Port دلخواه ( برای مثال 1234 یا 8888 ) قرار میدهیم و همچنین یک قابلیت Process Migration نیز پس از اجرا سازی به آن اضافه میکنیم
بعد از موارد بالا حالا فایل VBS خودمان را ایجاد میکنیم و در Desktop با عنوان Payload.vba ذخیره سازی میکنیم
برای این مرحله وارد MultiHandler در Metasploit میشویم و LPORT و LHOST و Payload که استفاده کردیم را برای این MultiHandler تنظیم میکنیم و عبارت run را مینویسیم و اجرا میکنیم.
برای اینکار کافیست بر روی یک سیستم ویندوزی Word را اجرا سازی کنید و وارد مسیر View -> Macro شوید.
در مسیر بازشده برای Macro خود یک نام به دلخواه انتخاب کنید و بر روی گزینه Create کلیک کنید.
در صفحه بازشده محتویات VBA Payload که ایجاد کردید را وارد کنید.
حالا کافیست فایل به سمت Target ارسال شود و در هنگام بازشدن فایل کاربر بر روی گزینه Enable Content کلیک کند.
یکی از ابزارهای پرکاربرد به که به زبان Python نوشته شده است و از طریق Python هم قابل تعامل میباشد Olevba میباشد. این ابزار یکی از ابزارهای بسیار کاربردی جهت تحلیل و بررسی Macro ها و کدهای مخرب درون این Macro های فایل Excel و Word میباشد. همچنین این ابزار از ویژگی های دیگری از جمله استخراج IOC ها و رمزگشایی تکنیک های مبهم سازی ( Obfuscation ) بدافزارها مانند Hex/Base64/StrReverse/Dridex را هم دارد.
نصب این ابزار بسیار سادست و یک کلیک ساده مانند زیر از طریق Pip توانایی نصب آن را دارید:
sudo -H pip install -U oletools
برای کارکردن با این ابزار پس از نصب به راحتی با نوشتن عنوان olevba میتوانید Help آن را ببینید و مطمئن شوید که کاملا برایتان نصب شده است.
پس از اطمینان از نصب شدن به واسطه دستور زیر ابتدا نام olevba و بعد نام فایلتان را وارد میکنید که فرآيند تحلیل آن انجام شود.
در خروجی بالا فایل ما یک فایل Word کاملا سالم بود Macro خاصی در آن وجود نداشت.
اما خروجی فایل مخرب زیر را که باهم ایجاد کردیم را ببینید:
میبینید که این فایل را یک فایل مخرب شناسایی کرد و گزارش آن را برایمان نمایش داد.
بیشتر بخوانید: حمله DNS Exfiltration چیست و چگونه پیاده سازی میشود؟