官方公众号企业安全新浪微博
FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。
FreeBuf+小程序
恶意文档执行命令提取工具：CMD Watcher
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
恶意文档执行命令提取工具：CMD Watcher
在花了大量时间分析各种maldoc之后，我意识到它们有一个共同点。看看下面这张图表：
我意识到许多maldoc使用CMD来启动下一个阶段。当然，并不是所有的maldoc都遵循这个图表。有一些maldocs直接从VBA请求(或其变体)恶意软件，而CMD根本没有使用。所以我想，如果我监视CMD进程并从命令行提取数据会怎么样呢?这样，我就可以从VBA宏中获得没有被混淆的输出，而不必遍历代码并手动转储内容。又如果我监视CMD进程，挂起它，提取命令行数据，然后杀掉它，会怎么样呢?我不仅能够快速、轻松地获得VBA宏输出，而且还可以避免机器损坏。CMD观察者就是这样诞生的。我去了恶意软件流量分析站点，抓了几个maldocs，启动了CMD监视器，开始打开每个文档，同时允许宏运行。看起来它在工作……
这是Emotet maldoc。
这是Hancitor
这是Trickbot。
我将写一篇关于如何去混淆DOSfuscated脚本的后续文章。如果您对CMD Watcher感兴趣，可以从Tools页面下载它。
*参考来源kahusecurity，由周大涛编译，转载请注明来自FreeBuf.COM
免责声明
1.一般免责声明：本文所提供的技术信息仅供参考，不构成任何专业建议。读者应根据自身情况谨慎使用且应遵守《中华人民共和国网络安全法》，作者及发布平台不对因使用本文信息而导致的任何直接或间接责任或损失负责。
2. 适用性声明：文中技术内容可能不适用于所有情况或系统，在实际应用前请充分测试和评估。若因使用不当造成的任何问题，相关方不承担责任。
3. 更新声明：技术发展迅速，文章内容可能存在滞后性。读者需自行判断信息的时效性，因依据过时内容产生的后果，作者及发布平台不承担责任。
本文为 FreeBuf_25425 独立观点，未经授权禁止转载。
如需授权、对文章有疑问或需删除稿件，请联系 FreeBuf 客服小蜜蜂（微信：freebee1024）
如需授权、对文章有疑问或需删除稿件，请联系 FreeBuf 客服小蜜蜂（微信：freebee1024）
被以下专辑收录，发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
相关推荐
FreeBuf_25425 LV.7
这家伙太懒了，还未填写个人描述！
- 95 文章数
- 81 关注者
红队技巧：SQL Server Extended Stored Procedures命令执行
2021-10-02
实战中常见的十种cookie漏洞
2021-03-03
红队技巧 | SharpSphere dump LSASS内存
2021-02-26