检测office的恶意vba脚本(宏病毒)——mraptor

最新推荐文章于 2024-09-10 11:03:26 发布

原创

最新推荐文章于 2024-09-10 11:03:26 发布 · 2.8k 阅读

2 ·

CC 4.0 BY-SA版权

mraptor是oletools工具集的一部分，用于扫描Office文件中的恶意VBA脚本。本文介绍了mraptor的基本使用方法，并展示了如何通过正则表达式和文件层次结构来检测OLE文件中的恶意宏。

检测office的恶意vba脚本(宏病毒)——mraptor

mraptor 是 oletools 工具集中的一个，用于扫描一个文件中是否存在可疑的 vba 脚本，也就是宏病毒。

在进入代码之前，我们先来看下mraptor的简单使用

mraptor的使用

这里只演示扫描单个文件，mraptor 还可以遍历检测文件夹啊和压缩包

[root@master ~]# mraptor 1.doc 

MacroRaptor 0.55 - http://decalage.info/python/oletools
This is work in progress, please report issues at https://github.com/decalage2/oletools/issues
----------+-----+----+--------------------------------------------------------
Result    |Flags|Type|File                                                    
----------+-----+----+--------------------------------------------------------
SUSPICIOUS|A-X  |OLE:|1.doc                                                   

Flags: A=AutoExec, W=Write, X=Execute
Exit code: 20 - SUSPICIOUS

恶意macros如何判断

在看完简单的使用之后，我们开始进入代码，看看是如何提取并检测宏是否恶意的

这里对代码进行了简化，仅保留主流程部分：

# 解析 vba
vba_parser = olevba.VBA_Parser(filename, data, container)
        # 检测是否存在 macros
        if vba_parser.detect_vba_macros():
            vba_code_all_modules = ''
   &n