Важно Техники для первичного закрепления на хостах через фишинговые атаки (макросы на базе Office программ)

[ADMIN]

Основная концепция - использовать минимальный размер макроса для проброса более тяжелой кавалерии, в зависимости от ступени и самой техники, можно как напрямую через vba ебануть шеллкод, так и разделить все на этапы. Однако, стоит учитывать, что EDR и/или современные СЗИ могут легко спалить такие нагрузки, поэтому, придется немного шаманить с нагрузками

1. VBA-макрос → PowerShell Stage 1 → Shellcode Stage 2 (классика)
2. VBA-макрос → Встраиваемый HTA-скрипт → PowerShell → шеллкод
3. VBA-макрос → PowerShell с динамической загрузкой и обфускацией → шеллкод
4. VBA → JavaScript или HTA → PowerShell → шеллкод (редко, для обхода политик)
5. VBA-макрос → mshta.exe → JavaScript → PowerShell → шеллкод
6. VBA → rundll32.exe → запуск DLL с вредоносным кодом → шеллкод
7. VBA → DDE-формула → запуск PowerShell без макросов
8. PowerShell Base64 обфускация → IEX → загрузка шеллкода
9. VBA → WScript или CScript → PowerShell → шеллкод
10. VBA → DLL side-loading → запуск вредоносной библиотеки → шеллкод
11. VBA → Подгрузка шеллкода с С2 → Process Injection подгруженного шеллкода (высокий риск - линейная техника)