Offensive VBA 0x3 - Developing PowerShell Droppers

Valeur des informations & solidité de l’argumentation

La valeur informative de cette vidéo réside dans la progression pédagogique claire : l’auteur part d’un dropper basique (téléchargement + exécution d’un PE) pour évoluer vers des techniques plus furtives (exécution en mémoire, obfuscation base64). Chaque étape est justifiée par une limite de la précédente, notamment la détection par les antivirus des fichiers écrits sur disque. L’argumentation technique est solide : l’auteur explique le rôle des objets VBA (WScript.Shell, CreateObject), les paramètres de la méthode Run (fenêtre cachée, exécution asynchrone), et l’utilisation d’Invoke-Expression pour l’exécution en mémoire. Il souligne également l’importance de l’OPSEC en red teaming, justifiant l’exécution asynchrone pour la rapidité et la furtivité. Les démonstrations en direct, bien que ponctuées d’erreurs de nommage corrigées en temps réel, renforcent la crédibilité pratique du contenu. L’auteur admet les limites de ses exemples (payload staged non fonctionnel) et annonce des techniques alternatives (PowerCat, payload intégré directement dans la macro) pour les épisodes suivants. L’argumentation reste toutefois essentiellement pratique et ne s’appuie pas sur des références externes ou des études comparatives.

Rigueur scientifique, qualité des sources, adéquation du titre

La rigueur scientifique est modérée : il s’agit d’un tutoriel technique et non d’une recherche scientifique. Aucune source externe n’est citée pour appuyer les affirmations, et les références se limitent aux outils utilisés (Metasploit, msfvenom, Kali Linux). La qualité des sources est faible au sens académique, mais adaptée au format tutoriel. L’adéquation titre/contenu est bonne : le titre annonce le développement de droppers PowerShell, et la vidéo couvre effectivement ce sujet avec des démonstrations concrètes. Les commentaires ne sont pas fournis, donc aucune analyse des tendances du public n’est incluse.

Le titre correspond bien au contenu : la vidéo développe effectivement des droppers PowerShell via des macros VBA, avec des démonstrations d'exécution en mémoire et d'obfuscation base64. L'adéquation est satisfaisante.

7/10

Le contenu est un tutoriel technique de red teaming produit par une chaîne reconnue dans le domaine de la cybersécurité offensive. Les démonstrations sont réalisées en direct sur un environnement de laboratoire (Windows + Kali Linux), avec des outils standards (Metasploit, msfvenom, WScript.Shell). Les explications sur les objets VBA, l'exécution asynchrone et l'exécution en mémoire sont exactes et cohérentes avec la documentation technique. Cependant, l'auteur commet plusieurs erreurs de nommage de macros qu'il corrige en direct, ce qui introduit une certaine confusion. Aucune source externe n'est citée pour appuyer les affirmations techniques, et le contenu reste une démonstration pratique plutôt qu'une analyse sourcée.

Repères établis par PSI à partir de la transcription : le créateur n'a pas défini de chapitres.

• 00:00Introduction à la série Offensive VBA et présentation du concept de dropper en red teaming.
• 02:00Création d'un document Word macro-enabled (.docm) et ouverture de l'éditeur VBA.
• 05:00Écriture de la première macro dropper utilisant WScript.Shell et Invoke-WebRequest.
• 10:00Test de la macro et identification d'une erreur de nommage (conflit avec le nom de la sous-routine).
• 15:00Correction de l'erreur et démonstration réussie du téléchargement et de l'exécution du payload.
• 20:00Explication des paramètres de la méthode Run : exécution asynchrone (false) vs synchrone (true).
• 25:00Introduction à l'exécution en mémoire (fileless) avec Invoke-Expression et Net.WebClient.DownloadString.
• 35:00Difficultés avec les payloads staged de Metasploit et discussion sur les payloads non-staged.
• 45:00Présentation de l'obfuscation par encodage base64 des commandes PowerShell.
• 50:00Utilisation d'un script PowerShell pour encoder la commande IEX en base64 et préparation de son intégration dans la macro.

• Cyber Ranges - Adversary Emulation Labs — Plateforme de laboratoires pour l'émulation d'adversaires, mentionnée dans la description comme ressource pour s'entraîner.
• CyberTalk Podcast - Spotify — Podcast de la chaîne HackerSploit, listé dans les ressources de la description.
• CyberTalk Podcast - Apple Podcasts — Podcast de la chaîne HackerSploit, listé dans les ressources de la description.
• Formulaire de suggestion de vidéos — Lien pour soumettre des idées de vidéos, mentionné dans la description.