巨集病毒還有不瞭解的麼
有不少粉絲私聊問我巨集病毒,今天就稍微總結總結寫給有興趣的小夥伴們,大佬勿噴
0x00 原理介紹
按照常規套路我們依舊從原理剖析一下。首先,什麼是巨集?是一種可在其更廣泛的環境中工作的程式語言編寫的,可以理解成一個小程式,能在較大的程式中執行,可以代表使用者自動執行任務,通常會指一項複雜或比較耗時的任務,它還在很多MMORPG(大型多人線上角色扮演遊戲)社群和某些搜尋引擎優化軟體中使用
巨集病毒會依靠特定的應用程式工作,並且通常會攻擊使用Microsoft程式的Windows或Mac計算機,但是除了Microsoft其他軟體程式也會**作
如果被攻擊了,它會傳播到其他文件,可能會遇到洩漏敏感資訊,檔案被加密等等
當前Microsoft Office的巨集是使用Visual Basic for Applications(VBA)編寫的,是Microsoft流行的Visual Basic程式語言的一種變體專門為Office建的
VBA可在大多數Office程式中使用,例如Access,Excel,Outlook,PowerPoint,Project,Publisher,Visio和Word等等。它也可以適用於Windows和Macintosh的Office的最新版本中使用
由於巨集是用程式語言編寫的程式,像其他程式一樣,也可能會受到惡意軟體的破壞。Microsoft Office因為使用人數多,Microsoft聲稱有12億使用者哈哈哈可能也是經常被攻擊的原因吧
巨集病毒通過修改(* .DOC)和NORMAL.DOT模板來感染Microsoft Office文件。在感染NORMAL.DOT之前在Microsoft Word下開啟受感染的文件時,該病毒將獲得AutoOpen巨集的控制權,並感染選定的全域性預設模板通常為NORMAL.DOT
之後使用File | SaveAS命令儲存的每個文件都被病毒感染。如果在感染之前存在任何巨集,它們將被覆蓋
巨集其實是一種節省時間的好方法,可以節省可預測的任務。比如說將樣式和格式應用於文字,或者與資料來源進行通訊,甚至單擊即可建立全新的文件
0x01 如何工作
巨集病毒的工作原理是假裝以看似正常的方式執行操作,有些文件嵌入文件中並在開啟文件時自動執行。通常情況下巨集病毒會通過祕密替換合法命令的方式對計算機進行破壞,當執行在計算機上的操作時,病毒將接管並告訴計算機執行完全不同的操作
巨集病毒利用msf拿shell,利用msf生成巨集,將生成的payload放進建立好的巨集中,利用kali開啟監聽模式就ok了,當然也可以做一下免殺。具體過程可以參照這篇公眾號 利用badusb遠端控制, 也可以利用cs拿shell
0x0 2巨集病毒示例
Word.Macro.Concept
這是最常見的巨集病毒。1995年8月Microsoft運送給數百家OEM公司的名為“Microsoft Compatibility Test”的CD ROM中存在這種病毒。當開啟受感染的文件時,螢幕上會出現一個帶有文字“ 1”的訊息框
Word.Macro.Nuclear
核中的所有巨集都受到保護,無法對其進行檢視或編輯。被感染的NORMAL.DOC包含名為AutoExec,AutoOpen,DropSuriv,FileExit,FilePrint,FilePrintDefault,FileSaveAs,InsertPayload等九個巨集
Word.Macro.Colors
該病毒包含以下巨集:AutoOpen, AutoClose, Autoexec, Filenew, Fileexit, Filesave, Filesaveas, Toolsmacro等等
Word.Macro.Hot
此病毒在會WINWORD6.INI配置檔案中建立一個包含“hot date”的條目。該“hot date”是從當前日期算起的14天將觸發病毒
Word.Macro.DMV
這是一種“demonstration”概念病毒
Word.Macro.FormatC (TrojanFormat)
這是特洛伊木馬,不會自我複製,會格式化C:
AutoExec、AutoNew、AutoOpen、AutoClose、AutoExit |
FileSave、FileSaveAs、FilePrint、FileOpen |
0x03 防禦措施
大多數巨集病毒並不用下載安裝到計算機上,這就比其他病毒更難檢測。它通常會嘗試感染更多的計算機
巨集病毒可以破壞資料,建立新檔案,移動文字,格式化硬碟驅動器,傳送檔案和插入圖片,有時候會出現缺少選單項或者是出現密碼,如果有這些情況就要考慮是不是巨集病毒引發的
如果操作某些感染了巨集病毒的檔案(文件或模板)就有可能感染巨集病毒
感染檔案通常以以下方式傳播:
通過網路共享檔案
開啟帶病毒的電子郵件附件
共享USB驅動器或其他外部/共享媒體上的檔案
開啟並下載帶病毒的Internet檔案等等等
為了防止感染巨集病毒,我們可以使用惡意軟體清除工具進行程式檢測並清除巨集病毒
並且在使用電腦時中不要立即開啟電子郵件或電子郵件附件,並且保持防病毒軟體的更新。在下載新程式時也要小心,尤其是Windows系統。儘量也不要點選彈出式廣告
總結一句話:禁用巨集[狗頭]
- 如何使用量子加密術保護物聯網(IoT)應用安全?
- IoT SAFE ——強化物聯網生態系統的安全性
- 中國臺灣晶片設計商 Realtek 的WiFi SDK漏洞影響數百萬IOT裝置
- 前所未有的挑戰,看IoT時代,鴻蒙如何應對隱私安全
- 全新升級IoT Stack 2.0和度能2.0,百度持續加碼為產業智慧化安全護航
- 勒索軟體攻擊飆升,IoT 裝置漏洞佔比達 96%
- 近億臺物聯網裝置或遭劫持,這家IoT雲平臺遭遇“災難性”入侵事件
- 關於IoT安全,20位大廠CSO這樣說……
- 阿里雲AIoT正式釋出IoT安全中心和IoT Studio 3.0,進一步鞏固AIoT雲網邊端基礎能力
- IoT時代,如何保護智慧家居裝置的安全?
- 基於服務的自動化測試:高質量、安全的物聯網(IoT)裝置的關鍵所在
- 物聯網目前的安全問題有哪些?
- AIoT安全峰會議題回顧|開啟IoT裝置分析的第一扇門
- 保持您的IoT網路安全的5個關鍵技巧
- 【二進位制安全】某APT樣本分析
- 關於一次智慧手錶的探索
- 這個寶藏星球你還不知道嗎?
- 一步步教你製作移動式銀行卡資訊讀取器
- 影響上億臺裝置|被供應鏈放大的19個0Day
- 巨集病毒還有不瞭解的麼