红队工具MacroPack已被攻击者滥用
内容提要
法国开发的红队演练工具MacroPack被滥用，部署了恶意负载Havoc、Brute Ratel和PhatomCore。恶意文档已涉及多个国家和地区，使用了高级功能如反恶意软件绕过和代码混淆。受害者打开文档后，会加载恶意DLL并连接到攻击者的C2服务器。攻击行为包括伪装成加密的NMLS更新表格、空白Excel工作簿和以巴基斯坦军事为主题的文件。开发者未回复。
延伸解读
红队工具的“双刃剑”效应
MacroPack 原本是用于红队演练和对手模拟的合法工具，却因提供反恶意软件绕过、代码混淆等高级功能而被攻击者滥用。这凸显了安全工具一旦落入恶意攻击者手中，就可能迅速转化为威胁。工具开发者需权衡功能开放与滥用风险，而防御方则需关注此类工具的恶意使用迹象。
攻击链的共性：从文档到C2
文章指出，受害者打开恶意Office文档后会触发VBA代码，进而加载恶意DLL并连接攻击者的C2服务器。这一攻击链在不同地区的样本中均有体现，说明攻击者利用MacroPack生成的文档具有相似的感染机制。防御者应重点监控Office文档的异常VBA执行和后续网络连接行为。
地域化诱饵与攻击意图
恶意文档针对不同国家采用了定制化诱饵：美国伪装成加密的NMLS更新表格，俄罗斯使用空白Excel工作簿，巴基斯坦则伪装成军事通知和就业确认书。这种地域化策略表明攻击者可能具有特定目标或意图，而非随机攻击。读者需警惕与自身业务相关的诱饵文件，尤其是来自不明来源的文档。
开发者沉默与应对建议
BleepingComputer 联系了 MacroPack 开发者 Emeric Nasi，但未获回复。这或许意味着开发者尚未意识到滥用情况，或未准备好回应。对于安全社区而言，在工具开发者采取行动前，应加强检测和防御措施，如监控MacroPack生成的文档特征，并限制Office宏的执行权限。
Q&A
MacroPack是什么工具，它的主要功能是什么？
MacroPack是一款由法国开发的红队演练工具，主要功能包括反恶意软件绕过、代码混淆和嵌入无法检测的VB脚本等。
MacroPack被攻击者如何滥用？
攻击者利用MacroPack部署恶意负载，如Havoc、Brute Ratel和PhantomCore，并伪装成各种文档诱骗用户打开。
受害者打开恶意文档后会发生什么？
受害者打开恶意Office文档后，会触发VBA代码，加载恶意DLL并连接到攻击者的C2服务器。
MacroPack滥用的恶意文档涉及哪些国家？
恶意文档涉及多个国家，包括美国、俄罗斯和巴基斯坦。
MacroPack滥用的恶意活动有哪些具体案例？
例如，美国的文档伪装成加密的NMLS更新表格，俄罗斯的空白Excel工作簿提供PhantomCore后门，巴基斯坦的文件伪装成军事通知和就业确认书。
开发者对MacroPack滥用的回应是什么？
BleepingComputer已联系开发者Emeric Nasi，但尚未收到回复。
