• XSS.stack #1 – первый литературный журнал от юзеров форума

[целевое решение] макрос 4.0 продвинутая инфекция

В этой теме можно использовать автоматический гарант!

Новая сделка
Отслеживать
lose

lose

ripper
КИДАЛА
Регистрация
25.07.2021
Сообщения
42
Реакции
7
Пожалуйста, обратите внимание, что пользователь заблокирован
это только первая версия макроса 4.0 продвинутого заражения

1.что особенного в этом макросе 4.0?

не использовал никаких подозрительных предметов такие как , Exec , CreateObject, Chr , Shell , или даже шестнадцатеричные строки

это xls , а не шаблон xll или xla

полностью обойти AMSI, время сканирования и время выполнения

так же протестировали отправку gmail с компа на другой комп, проблем нет, например почта уходит в спам или блокируется в целях безопасности

как те : ibb.co/YRqp1Ks

также нет обнаружения на gmail

файл идет 100% в папку входящие

мы получили решение избавиться от блокирующего макроса в офисе 2021

пс: проверено на 2021 год

поскольку это не xll, цель не получит это предупреждающее сообщение

ibb.co/4JZ3p1J

это выглядит более подозрительно, чем желтое сообщение

если у вас есть шеллкод cobaltstrike, я могу запустить его из памяти прямо сейчас без dl/exec

работаю через поручителя

после первой продажи вношу залог

TOX : CE2098F701290244A0F243208840546D0C37B0C8B62CA52D6228FA40D92A3E39D432A4D4CA26
 
Пожалуйста, обратите внимание, что пользователь заблокирован
EN :
this is only the first version of macro 4.0 advanced infection

1.what is special about this macro 4.0?

didn't use any suspicious items like , Exec , CreateObject, Chr , Shell , or even hex strings

its xls , not xll or xla template

completely bypass AMSI, scan time and run time

we also tested sending gmail from a computer to another computer, there are no problems, for example, mail goes to spam or is blocked for security reasons

like those : ibb.co/YRqp1Ks

also no detection on gmail

the file goes 100% to the inbox

we got a solution to get rid of the blocking macro in office that downloaded from the internet

since it's not xll the target won't get this warning message

ibb.co/4JZ3p1J

this looks more suspicious than the yellow message

if you have cobaltstrike shellcode i can run it from memory right now without dl/exec

working through a guarantor

after the first sale I pay a deposit

TOX : CE2098F701290244A0F243208840546D0C37B0C8B62CA52D6228FA40D92A3E39D432A4D4CA26
 
Последнее редактирование:
Пожалуйста, обратите внимание, что пользователь заблокирован
добавлен schtasks /job это будет добавлено из скрипта макроса, не используйте подозрительный запуск (activeX) в вашем exe
 
Пожалуйста, обратите внимание, что пользователь заблокирован
.doc теперь доступен, хост не нужен, так как его можно встроить, он получен, потому что av обнаружил хост

EN :
.doc is now available, no need for host as it can be embedded, it's obtained because av discovered the host
 
Каким образом ты оживил то что мертво?) Макросы выключили еще в прошлом году.
 
lose сказал(а):
it is still working till office 2019 также 365
Покажи видео демонстрацию... Это будет полезно для продвижения твоего "бизнеса".
 
lose сказал(а):
Я не понимаю, что вы имеете в виду, но нормальный макрос все еще работает с 2019 года.
А, я понял че это за макрос. Это же Excel'ский макрос, он актуален да
 
admin


Напишите ответ...
Верх