对Excel 4.0 Macro恶意代码的一次分析

0x1 背景

今天在推特上看见一个老哥发了一个针对意大利的样本，还是热乎的，遂下载下来分析看看，没想到是个Excel 4.0 Macro的样本，以前没仔细分析过Excel 4.0 Macro也没有总结记录过，这里写个文章总结一下分析的过程。

目的在于记录Excel 4.0 Macro的分析方法，所以就不跑动态行为和其他行为特征了，只看代码。

样本在http://yenne.ys168.com/

Sample目录下Abusech_ursnif.xls.zip

0x2 样本信息

File Name	File Size	File Type	MD5
Abusech_ursnif.xls	202,240 Byte	Trojan	0dd976de7791a9839f9bc1ef3b9ad2e9

0x3 样本分析

xls文件名为”zv”表中打开一块空白，但仔细一看表有50000+行代码，其中大部分为空，部分代码穿插在表中

寻找代码

刚开始分析，搞了半天，也没有看见完整的代码，常用的oledump好像并不能Dump出Excel 4.0 Macro的代码

后来找到了一个olevba.py的工具，属于分析OLE文件套件oletools下的一个工具，oletools网址http://www.decalage.info/python/oletools

安装方法：pip install -U https://github.com/decalage2/oletools/archive/master.zip

直接在CMD使用就好

Code

Usage: olevba [options] <filename> [filename2 ...]

Options:
  -h, --help            show this help message and exit
  -r                    find files recursively in subdirectories.
  -z ZIP_PASSWORD, --zip=ZIP_PASSWORD
                        if the file is a zip archive, open all files from it,
                        using the provided password.
  -p PASSWORD, --password=PASSWORD
                        if encrypted office files are encountered, try
                        decryption with this password. May be repeated.
  -f ZIP_FNAME, --zipfname=ZIP_FNAME
                        if the file is a zip archive, file(s) to be opened
                        within the zip. Wildcards * and ? are supported.
                        (default:*)
  -a, --analysis        display only analysis results, not the Excel 4.0 Macro source
                        code
  -c, --code            display only VBA source code, do not analyze it
  --decode              display all the obfuscated strings with their decoded
                        content (Hex, Base64, StrReverse, Dridex, VBA).
  --attr                display the attribute lines at the beginning of VBA
                        source code
  --reveal              display the Excel 4.0 Macro source code after replacing all the
                        obfuscated strings by their decoded content.
  -l LOGLEVEL, --loglevel=LOGLEVEL
                        logging level debug/info/warning/error/critical
                        (default=warning)
  --deobf               Attempt to deobfuscate VBA expressions (slow)
  --relaxed             Do not raise errors if opening of substream fails

  Output mode (mutually exclusive):
    -t, --triage        triage mode, display results as a summary table
                        (default for multiple files)
    -d, --detailed      detailed mode, display full results (default for
                        single file)
    -j, --json          json mode, detailed in json format (never default)

olevba.py可以得到样本内的代码与分析的结果

将输出结果重定向到文件中

寻找Auto_Open

输出的内容有1000+行，都不知道从哪开始找Auto_Open运行的函数，搜索Formula也没有结果，后来发现搜索auto_open后，在auto_open后面跟着要执行的函数地址

在最后”zv!CC906”，zv是表的名称，CC906是表中单元格位置，不知道为啥DUMP出的数据表格位置和文件中的位置有一点差距。

在DUMP的数据中找到CC906的位置，调用了一个DT31804

再找到DT31804

反调试

可以看见调用了一个函数 APP.MAXIMIZE()，因为DUMP出的表格地址和文件中的地址有偏差，所以直接去文件中搜函数名APP.MAXIMIZE

这里就是部分反调试代码

Code

=IF(GET.WINDOW(7),$HN$8144(),)				//检查窗口是否隐藏		
=IF(GET.WINDOW(20),,$HN$8144())				//检查窗口是否最大化
=IF(GET.WINDOW(23)<3,$HN$8144(),)			//检查窗口大小
=IF(GET.WORKSPACE(31),$HN$8144(),)			//检查代码是否单步运行
=IF(GET.WORKSPACE(13)<770,$HN$8144(),)		//检查WorkPlace宽度
=IF(GET.WORKSPACE(14)<380,$HN$8144(),)		//检查WorkPlace高度
=IF(GET.WORKSPACE(19),,$HN$8144())			//检查是否有鼠标
=IF(GET.WORKSPACE(42),,$HN$8144())			//检查是否有音频设备
=IF(ISNUMBER(SEARCH("Windows",GET.WORKSPACE(1))),,$HN$8144())
=$BJ$9452()			//获取当前运行样本的环境及版本号

反调试代码有一步没有通过，就会跳转到HN8144直接关闭程序的代码