信息安全 | 利用oletools-python分析恶意文档样本

前言

通过学习oletools-python后，能够对恶意文档样本进行基础的分析工作。

什么是oletools-python

oletools-python工具，用于分析MS OLE2文件（结构化存储，复合文件二进制格式）和MS Office文档，以进行恶意软件分析，取证和调试。

下载安装

• Linux、Mac：sudo -H pip install -U oletools
• Windows：pip install -U oletools

官网链接：https://pypi.org/project/oletools/

工具模块

分析恶意样本文件的工具

oleid：分析OLE文件以检测通常在恶意文件中发现的特定特征。
olevba：从MS Office文档（OLE和OpenXML）中提取和分析VBA Macro源代码。
MacroRaptor：检测恶意的VBA宏
msodde：检测并从MS Office文档，RTF和CSV中提取DDE / DDEAUTO链接
pyxswf：检测，提取和分析可能嵌入在MS Office文档（例如Word，Excel）和RTF等文件中的Flash对象（SWF），这对于恶意软件分析特别有用。
oleobj：从OLE文件中提取嵌入式对象。
rtfobj：从RTF文件中提取嵌入式对象。

分析OLE文件结构的工具

olebrowse：一个简单的GUI，可浏览OLE文件（例如MS Word，Excel，Powerpoint文档），以查看和提取单个数据流。
olemeta：从OLE文件中提取所有标准属性（元数据）。
oletimes：提取所有流和存储的创建和修改时间戳。
oledir：显示OLE文件的所有目录条目，包括空闲和孤立的条目。
olemap：显示OLE文件中所有扇区的映射。

应用例子

• 判断样本是否包含可疑的宏（宏病毒）

python mraptor.py file.docx

输出内容：

MacroRaptor 0.51 - http://decalage.info/python/oletools
This is work in progress, please report issues at https://github.com/decalage2/oletools/issues
----------+-----+----+--------------------------------------------------------
Result    |Flags|Type|File
----------+-----+----+--------------------------------------------------------
Macro OK  |---  |TXT |log.docx

Flags: A=AutoExec, W=Write, X=Execute
Exit code: 2 - Macro OK

mraptor通过启发式方法检测大多数恶意VBA宏，不同于杀毒引擎检测特征码。当发现文档自动执行触发器和写入文件系统或内存操作，或执行VBA上下文等操作时会判断为恶意宏。

• 获取样本中所有流和存储的创建和修改时间

python oletimes.py file.doc