本文详细介绍了如何使用oledump.py工具分析宏恶意代码，包括识别混淆字符、反混淆过程和恶意代码功能解析。恶意代码涉及创建目录、复制自身、从png图像中提取zip文件，解压后包含一个RAT（远程访问木马），具备下载、运行命令、截屏等功能。此外，通信过程使用AES加密和Base64编码确保隐蔽性。
一、分析工具:oledump.py
二、样本：ef02527858797356c5e8571c5a22d00c481fbc9ce73c81a341d482ea3776878a
三、分析步骤
1.查看宏
命令：python3 old_sample/oledump.py
ef02527858797356c5e8571c5a22d00c481fbc9ce73c81a341d482ea3776878a
大写字母“M”表示宏代码的位置，M左侧对应的字符为索引
2.提取恶意宏代码
命令：python3 old_sample/oledump.py -s 8 -v ef02527858797356c5e8571c5a22d00c481fbc9ce73c81a341d482ea3776878a
3.将恶意代码导入txt文件中
命令：python3 old_sample/oledump.py -s 8 -v ef02527858797356c5e8571c5a22d00c481fbc9ce73c81a341d482ea3776878a>ef_malware.txt
4.分析恶意代码
4.1.打开导出的txt文件，通过观察发现有以下几种混淆字符
（1）_OACZT_20210214_115603_xokkn_
（2）xokkn</
最低0.47元/天 解锁文章
扫一扫
2万+
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
