Análise de Malware com Macros em Documentos do Office

Quando Usar

• Um documento do Office suspeito (.doc, .docm, .xls, .xlsm, .ppt) foi sinalizado pela segurança de e-mail
• Investigando campanhas de phishing que entregam documentos do Office "armados"
• Extraindo código de macro VBA para identificar a URL de download do payload e o método de execução
• Analisando código VBA ofuscado para entender a cadeia de ataque completa
• Determinando se um documento usa DDE, ActiveX ou injeção de template remoto em vez de macros

Não use para analisar ameaças do Office que não usam macros (DDE, injeção de template remoto); embora esta habilidade cubra a detecção delas, análises especializadas podem ser necessárias.

Pré-requisitos

• Python 3.8+ com oletools instalado (pip install oletools)
• oledump.py de Didier Stevens (https://blog.didierstevens.com/programs/oledump-py/)
• VM de análise isolada sem o Microsoft Office instalado (evita execução acidental)
• XLMDeobfuscator para análise de macros do Excel 4.0 (pip install xlmdeobfuscator)
• LibreOffice para renderização segura de documentos (não executa macros VBA por padrão)

Fluxo de Trabalho

Passo 1: Triagem Inicial do Documento

Determine se o documento contém macros ou outro conteúdo ativo:

# Quick triage with olevba
olevba suspect.docm

# Check for OLE streams and macros
oleid suspect.docm

# Output indicators:
# VBA Macros:        True/False
# XLM Macros:        True/False
# External Relationships: True/False (remote template)
# ObjectPool:        True/False (embedded objects)
# Flash:             True/False (SWF objects)

# Comprehensive OLE analysis
oledump.py suspect.docm

# List all OLE streams with macro indicators
# Streams marked with 'M' contain VBA macros
# Streams marked with 'm' contain macro attributes

Passo 2: Extrair e Analisar Código VBA

Extraia o código-fonte completo da macro VBA:

# Extract VBA with full deobfuscation
olevba --decode --deobf suspect.docm

# Extract just the VBA source code
olevba --code suspect.docm > extracted_vba.txt

# Detailed extraction with oledump
oledump.py -s 8 -v suspect.docm  # Stream 8 (adjust based on stream listing)

# Extract all macro streams
oledump.py -p plugin_vba_dco suspect.docm

Key VBA Elements to Identify:
━━━━━━━━━━━━━━━━━━━━━━━━━━━
Auto-Execution Triggers:
  - Auto_Open / AutoOpen (Word)
  - Auto_Close / AutoClose
  - Document_Open / Document_Close
  - Workbook_Open (Excel)
  - AutoExec

Suspicious Functions:
  - Shell() / Shell.Application
  - WScript.Shell.Run / Exec
  - CreateObject("WScript.Shell")
  - PowerShell execution
  - URLDownloadToFile
  - MSXML2.XMLHTTP (HTTP requests)
  - ADODB.Stream (file writing)
  - Environ() (environment variables)
  - CallByName (indirect method calls)

Passo 3: Desofuscar Código VBA

Remova as camadas de ofuscação para revelar o payload:

# VBA deobfuscation techniques
import re

def deobfuscate_vba(code):
    # 1. Resolve Chr() calls: Chr(104) & Chr(116) -> "ht"
    def resolve_chr(match):
        try:
            return chr(int(match.group(1)))
        except:
            return match.group(0)
    code = re.sub(r'Chr\$?\((\d+)\)', resolve_chr, code)

    # 2. Remove string concatenation: "htt" & "p://" -> "http://"
    code = re.sub(r'"\s*&\s*"', '', code)

    # 3. Resolve ChrW calls: ChrW(104)
    code = re.sub(r'ChrW\$?\((\d+)\)', resolve_chr, code)

    # 4. Resolve StrReverse: StrReverse("exe.daolnwod") -> "download.exe"
    def resolve_reverse(match):
        return '"' + match.group(1)[::-1] + '"'
    code = re.sub(r'StrReverse\("([^"]+)"\)', resolve_reverse, code)

    # 5. Remove Mid$/Left$/Right$ obfuscation (complex, mark for manual review)

    # 6. Resolve Replace(): Replace("Powxershxell", "x", "")
    def resolve_replace(match):
        original = match.group(1)
        find = match.group(2)
        replace_with = match.group(3)
        return '"' + original.replace(find, replace_with) + '"'
    code = re.sub(r'Replace\("([^"]+)",\s*"([^"]+)",\s*"([^"]*)"\)', resolve_replace, code)

    return code

with open("extracted_vba.txt") as f:
    vba_code = f.read()

deobfuscated = deobfuscate_vba(vba_code)
print(deobfuscated)

Passo 4: Analisar Macros do Excel 4.0 (XLM)

Lide com macros legadas do Excel que contornam a detecção de VBA:

# Detectar macros XLM
olevba --xlm suspect.xlsm

# Desofuscar macros XLM
xlmdeobfuscator -f suspect.xlsm

# Análise manual de XLM com oledump
oledump.py suspect.xlsm -p plugin_biff.py

# Funções de macro XLM (Excel 4.0) para observar:

…