Word Macros

reversing macros

Zararlı Office belgeleri VBA/XLM ile ikinci stage indirir veya PowerShell çalıştırır. Statik dump çoğu zaman dinamik çalıştırmadan önce yeter.

Metodoloji

1. Dosya tipini ayır: .doc OLE vs .docm OOXML.

2. olevba / oledump ile makro ve stream’leri listele.

3. AutoOpen/Document_Open ve obfuscated string’leri çöz.

4. İnen URL / komutu izole et; gerekirse sandbox’ta ikinci stage al.

Dump

file challenge.doc challenge.docm

olevba challenge.docm

olevba -c challenge.docm

oledump.py challenge.doc

oledump.py -s A -v challenge.doc

unzip -l challenge.docm | rg vba

pcodedmp challenge.doc

XLM / Excel 4.0

xlmdeobfuscator --file challenge.xls

olevba challenge.xls | rg -i 'auto_open|exec|url'

ssview challenge.xls

Deobfuscation

Chr()/ChrW() zinciri → python ile eval benzeri decode

# örnek: Chr(80)&Chr(111)... → Po...
s='Chr(80)&Chr(111)&Chr(119)'
import re
print(''.join(chr(int(x)) for x in re.findall(r'Chr\((\d+)\)',s)))

# PowerShell IEX payload'ı çıkar
olevba -c challenge.docm | rg -i 'powershell|IEX|DownloadString|FromBase64'

base64 -d payload.b64 | gzip -d 2>/dev/null || base64 -d payload.b64

Checklist

[ ] olevba/oledump alındı
[ ] auto-exec noktası bulundu
[ ] string obfuscation çözüldü
[ ] URL/komut/ikinci stage çıkarıldı