office-malware-analyzer

name	office-malware-analyzer
description	全面分析 Office 文档安全性 (.doc/.docx/.docm/.xls/.xlsx/.xlsm/.ppt/.pptx/.pptm/.rtf/.wps/.one/.xll)。当用户要求"分析 Office 文档"、"检测宏病毒"、"VBA 分析"、"OLE 分析"、"文档安全检测"、"恶意文档分析"时使用此技能。支持检测：VBA 宏及 VBA Stomping、CallByName 间接执行、UserForm 隐藏命令、多层 Base64 编码、ChrW 数学混淆、Excel 4.0/XLM 宏、DDE 攻击、模板注入、RTF 漏洞利用、Follina (CVE-2022-30190)、EPS 漏洞、随机 ProgID 检测、OLE autoLoad 检测。
metadata	{"version":"1.0.0","builtin":true}

Office 恶意文档分析器 v3.10

综合分析 Office 文档 (Word/Excel/PowerPoint/WPS/OneNote) 的恶意特征。

快速开始

# 进入技能目录
cd <SKILL_DIR>

# 全面分析
.venv/bin/python scripts/analyze_office.py /path/to/document.docm

# JSON 输出
.venv/bin/python scripts/analyze_office.py -f json /path/to/document.xlsm -o report.json

# 快速风险摘要
.venv/bin/python scripts/analyze_office.py -q /path/to/suspicious.doc

说明: <SKILL_DIR> 是此技能安装目录（包含 .venv/ 和 scripts/）。

辅助脚本

脚本	用途	使用场景
analyze_office.py	全面扫描，检测所有威胁指标	主要分析工具
extract_vba.py	提取完整 VBA 代码	需要分析宏混淆逻辑
extract_embedded.py	提取嵌入文件	检测到嵌入 RTF/OLE/可执行文件
office_scan.py	快速扫描	初步检测

分析工作流

Phase 1: 文件识别

.venv/bin/python scripts/analyze_office.py /path/to/document -q

输出：文件类型、格式版本、基本风险指标

Phase 2: 宏分析

olevba --decode /path/to/document
# 失败时使用 pcodedmp 检测 VBA Stomping
pcodedmp /path/to/document

检查项：自动执行触发器、间接执行、UserForm 载荷、Base64 编码

Phase 3: 嵌入对象分析

oleobj /path/to/document
rtfobj /path/to/document  # RTF 文件

检查项：OLE ProgID、外部链接、模板注入、altChunk

Phase 4: 漏洞利用检测

检测已知 CVE 特征：

• CVE-2017-11882 (Equation Editor)
• CVE-2017-0199 (OLE2Link)
• CVE-2022-30190 (Follina)
• CVE-2017-0261/0262 (EPS)

Phase 5: 载荷提取

.venv/bin/python scripts/extract_embedded.py /path/to/document -o ./extracted/
.venv/bin/python scripts/extract_vba.py /path/to/document -o ./vba/

Phase 6: 风险评分与报告

根据检测结果累加评分，按 references/report-format.md 输出报告

核心检测能力

特性	描述	检测方法
VBA Stomping	P-code 与源码不同	olevba 错误 -> pcodedmp
间接执行	CallByName 使用变量参数	模式匹配
UserForm 载荷	控件属性中的命令	OLE 流分析
多层 Base64	UTF-16LE 嵌套编码	递归解码
ChrW 混淆	数学运算构建字符串	P-code LitDI2+Sub+ChrW
EPS 漏洞	CVE-2017-0261/0262, CVE-2015-2545	EPS 文件分析
随机 ProgID	混淆的 OLE 对象名称	正则匹配
autoLoad 属性	Excel OLE 自动执行	XML 属性检测
OLE Link 对象	外部 OLE 引用	Type="Link" 属性
混淆 RTF	{\rt 头规避	扩展签名检测
altChunk 内容	OOXML 嵌入载荷	aFChunk 关系分析
XLM 宏	Excel 4.0 公式	EXEC, CALL, REGISTER
DDE 攻击	通过 DDE 执行命令	DDEAUTO 模式
模板注入	远程模板加载	外部关系检测
Follina	CVE-2022-30190 ms-msdt:	外部 rels + XML 扫描

风险评分

发现	分数
VBA 宏	+15
自动执行触发器	+20
VBA Stomping	+30
间接执行	+25
UserForm 载荷	+25
ChrW 混淆	+15
解码后载荷	+20
XLM 宏	+25
DDE 命令	+35
模板注入	+40
EPS 漏洞	+40
随机 ProgID (短)	+25
随机 ProgID (长)	+35
autoLoad="true"	+30
已知 CVE	+50

风险等级

评分为累加制，无上限。多个威胁指标叠加时总分可能超过 100 分。

分数	等级	说明
0-29	低风险	可能无害
30-49	中风险	需要进一步调查
50-74	高风险	很可能是恶意文档
≥75	严重	确认恶意，多重威胁叠加

支持的文件格式

扩展名	格式	风险点
.doc/.xls/.ppt	OLE (旧格式)	宏、OLE 对象
.docx/.xlsx/.pptx	OOXML (ZIP)	宏、外部链接、DDE
.docm/.xlsm/.pptm	OOXML + 宏	VBA 代码
.rtf	RTF	嵌入对象、漏洞利用
.wps/.et/.dps	WPS Office	JS 宏、OLE 对象
.xll	Excel 加载项 (PE/DLL)	自动执行、DLL 注入
.one/.onetoc2	OneNote	嵌入可执行文件
.mht/.mhtml	MIME HTML	JavaScript、ActiveX

已知 CVE 特征

CVE	目标	特征模式
CVE-2017-11882	Equation Editor	Equation.3
CVE-2017-0199	OLE2Link	application/hta
CVE-2017-0261/0262	EPS 类型混淆	多个 %%Creator:
CVE-2015-2545	EPS 内存损坏	teledict 模式
CVE-2022-30190	MSDT (Follina)	ms-msdt:
CVE-2021-40444	MSHTML	.cab, mhtml:
CVE-2023-36884	Office HTML	altChunk

执行超时说明

⚠️ 重要: 本技能分析大型 Office 文档时需要较长执行时间，请耐心等待。

脚本	默认超时	说明
analyze_office.py	60s	综合分析，大文件需更长时间
extract_vba.py	120s	VBA 提取，含 P-code 反编译
office_scan.py	120s	olevba 扫描，大文件耗时
extract_embedded.py	60s	嵌入文件提取

超时原因：

• olevba 分析大型宏文件（>1MB）可能需要 30-60 秒
• pcodedmp 反编译复杂 VBA 需要额外时间
• 嵌套压缩/加密文档分析更耗时

依赖要求

Python 版本: 3.8+

必需依赖:

工具	安装	用途
oletools	pip install oletools	VBA/OLE 分析
pcodedmp	pip install pcodedmp	VBA Stomping 检测

可选依赖: 无

oletools 包含的命令:

• olevba - VBA 宏提取和分析
• oleid - OLE 文件识别
• oledump - OLE 流分析
• rtfobj - RTF 对象提取
• oleobj - 嵌入对象提取

虚拟环境创建参考:

cd <SKILL_DIR>
python -m venv .venv
source .venv/bin/activate
pip install oletools olefile pcodedmp

与其他技能的关联

分析过程中发现 IOC 时的处理：

提取到的 IOC	调用的技能	说明
模板注入 URL	url-analysis	分析远程模板地址
外部 OLE 链接	url-analysis	分析外部引用
C2 域名	domain-analysis	分析恶意载荷连接的域名
C2 IP	ip-analysis	分析回连 IP 地址
嵌入可执行文件	binary-reverse-engineering	分析嵌入的恶意程序

上游技能（可能调用本技能）：

• phishing-analysis - 分析邮件附件中的 Office 文档

调用时机：

1. 检测到模板注入（TargetMode="External"）时，对 URL 调用 url-analysis
2. 检测到外部 OLE 链接时，分析链接目标
3. 解码 VBA 发现 C2 地址时，调用 ip-analysis 或 domain-analysis
4. 提取嵌入可执行文件后，调用 binary-reverse-engineering

参考文件

• references/report-format.md - 📋 报告格式规范（必读）
• references/analysis-guide.md - 详细分析方法
• references/wps-analysis.md - WPS 文档分析
• references/xlm-dde-analysis.md - XLM/DDE 分析
• references/dangerous-functions.md - 危险函数速查表
• references/malicious-patterns.md - 恶意代码示例