Ivy

此仓库已归档

描述 Ivy 是一个用于在内存中执行任意 VBA (宏) 源代码的有效载荷创建框架。Ivy 的加载器通过滥用 VBA 对象环境中的程序访问来加载、解密和执行 shellcode。这种技术尽可能接近真正的无文件攻击，因为当今大多数无文件攻击都需要在磁盘上放置某些文件，从而绕过基于签名的标准检测 VBA 代码的规则。典型的 VBA 有效载荷具有以下特征：

由于这些行为完全在内存中运行,因此更难被 EDR 检测。Ivy 的加载程序使用 RC4 加密(使用 AES 加密会导致文件体积过大,并且 VBA 要花费很长时间才能解密),然后将其分解为单独的字符串,从而阻止任何沙箱将这些字符串识别为应该进行调查的加密字符串。这还阻止任何解码机制将这些有效载荷识别为除了垃圾字符之外的任何内容。

Ivy 的加载程序首先执行注册表查询，以启用“信任 VBA 项目对象模式的访问”。此注册表项值存储在用户模式中，允许用户修改此值而不需要任何提升的权限。注册表值设置为 0 到 1；如果注册表项不存在，Ivy 将以“1”为值创建它。启用此值后，便可从不同进程对 VBA 对象环境进行程序化访问。

一旦完成此操作,加载程序将创建一个隐藏的 Excel 进程,并将加密的字符串加载到 VBA 函数中。这通过使用 ActiveX 模拟执行相同任务的 GUI 操作来实现的。这有助于绕过许多安全防护。