流量与样本溯源43 条

Office 宏样本的快速检查

文档类样本先跑宏分析工具列出自动执行入口（AutoOpen 等）与可疑调用，再决定是否沙箱执行。

对象	宏源码、自动执行入口、可疑 API 调用
工具	oletools 套件中的 olevba

宏检查

olevba --decode sample.docm | sed -n '1,60p'
# 关注关键字
olevba --decode sample.docm | grep -iE 'AutoOpen|Shell|CreateObject|URLDownload'

文档样本请在隔离环境打开，宏一律禁用后再做动态分析。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌