Emulating FIN6 - Gaining Initial Access (Office Word Macro)

Item: Emulating FIN6 - Gaining Initial Access (Office Word Macro)
Rating: 4
Author: PostSingularity Institute

Émulation de FIN6 – Obtenir l'accès initial (macro Office Word)

par HackerSploit · Voir la chaîne sur PSI

Sciences appliquées & ingénierie Informatique & Cybersécurité URSécurité informatique URHFraude et piratage informatique

🎙 HackerSploit 👥 1.0M 📅 16 janvier 2025 ⏱ 32 min 👁 7K 📄 tutoriel 🧭 2026-10-09

Disponible en : Français (actuel) English

Mots-clés

FIN6émulation d'adversairemacro WordMeterpreterélévation de privilèges

Résumé

Cette vidéo s’inscrit dans une série consacrée à l’émulation d’adversaires, ici le groupe FIN6, acteur motivé financièrement. L’auteur se concentre sur la première phase du cycle d’attaque : l’accès initial via une pièce jointe de spear-phishing, matérialisée par un document Word contenant une macro malveillante. La démonstration s’appuie sur la bibliothèque d’émulation d’adversaires du Center for Threat-Informed Defense et sur un laboratoire Cyber Ranges. Le module exploit/multi/fileformat/office_word_macro de Metasploit est utilisé pour générer automatiquement le document .docm, avec un payload Meterpreter x64 en reverse TCP. L’auteur détaille le choix de l’option exitfunc (thread plutôt que process ou seh) pour éviter la fermeture de Word et l’alerte de l’utilisateur. Le document est ensuite transféré vers la machine cible via un serveur web Python, puis ouvert par l’utilisateur simulé, ce qui déclenche l’exécution de la macro et l’ouverture d’une session Meterpreter. Après reconnaissance (nom d’hôte, utilisateurs, privilèges), l’auteur constate que le compte mad admin appartient au groupe administrateurs locaux mais n’est pas élevé. Il met alors en place un module de contournement d’UAC exploitant la tâche planifiée SilentCleanup pour obtenir une élévation de privilèges. La vidéo se termine sur cette étape, annonçant les prochaines phases : énumération Active Directory, élévation de privilèges dans le domaine, puis exfiltration.

205 mots

Évaluation critique

Valeur des informations & solidité de l’argumentation

La valeur informative de cette vidéo réside dans la clarté du fil conducteur : chaque étape est justifiée par rapport au plan d’émulation de FIN6 et au cycle d’attaque. L’auteur prend soin d’expliquer les choix techniques, notamment le paramètre exitfunc, en détaillant les conséquences de chaque option (process, thread, seh) sur la stabilité de l’application cible et la discrétion de l’opération. Cette explication constitue un apport pédagogique réel pour comprendre les subtilités de l’utilisation de Metasploit dans un contexte d’émulation. L’argumentation est également solide lorsqu’il justifie l’écart par rapport à la documentation du laboratoire : ne pas exécuter Word en administrateur pour inclure une étape réaliste d’élévation de privilèges locaux. Ce choix renforce la crédibilité de la démonstration. En revanche, la simulation du vecteur de livraison (téléchargement via un serveur web local plutôt qu’un véritable courriel de spear-phishing) est un raccourci assumé qui réduit la portée de l’émulation sur ce point précis. L’auteur le reconnaît explicitement, ce qui témoigne d’une certaine honnêteté intellectuelle. La démonstration reste toutefois centrée sur l’exécution technique plutôt que sur l’analyse des défenses ou des indicateurs de compromission, ce qui limite la profondeur de l’argumentation.

Rigueur scientifique, qualité des sources, adéquation du titre

La rigueur scientifique de cette vidéo repose sur l’utilisation de sources reconnues : la bibliothèque d’émulation d’adversaires du Center for Threat-Informed Defense, qui fournit des plans d’émulation documentés pour des groupes APT, et le framework ATT&CK de MITRE, évoqué via l’ATT&CK Navigator. Ces références sont citées dans la description et exploitées directement dans la démonstration. L’auteur mentionne également les laboratoires Cyber Ranges, qu’il a lui-même conçus, ce qui introduit un biais potentiel mais n’invalide pas la qualité technique du contenu. Les outils employés (Metasploit, Meterpreter, Kiwi, Incognito) sont des standards de l’industrie, et leur usage est conforme aux pratiques documentées. Aucune source académique ou étude originale n’est citée, ce qui est attendu pour un tutoriel technique. L’adéquation entre le titre et le contenu est excellente : la vidéo traite bien de l’obtention d’un accès initial par macro Word dans le cadre de l’émulation de FIN6.

349 mots

Adéquation titre / contenu

Le titre annonce fidèlement le contenu : la vidéo démontre bien l'obtention d'un accès initial par macro Word malveillante dans le cadre de l'émulation de FIN6.

Qualité & fiabilité

7/10

Le contenu s'appuie sur des références réelles et vérifiables (bibliothèque d'émulation d'adversaires du CTID, laboratoires Cyber Ranges, ATT&CK Navigator) et sur des outils standards de l'industrie (Metasploit, Meterpreter). Les explications techniques sont exactes et cohérentes avec les pratiques documentées du red teaming. La démonstration est toutefois réalisée dans un environnement de laboratoire contrôlé, avec des raccourcis assumés (transfert du document via un serveur web local plutôt qu'une véritable campagne de spear-phishing), ce qui limite la portée opérationnelle. Aucune donnée chiffrée ou étude originale n'est présentée ; il s'agit d'un tutoriel pratique.

Moments clés

Repères établis par PSI à partir de la transcription : le créateur n'a pas défini de chapitres.

Sources citées

CTID Adversary Emulation Library — Bibliothèque de plans d'émulation d'adversaires utilisée comme référence pour la campagne FIN6.
Cyber Ranges - Scénario du laboratoire — Environnement de laboratoire utilisé pour la démonstration pratique.
Cyber Ranges - Plateforme — Plateforme d'entraînement hébergeant les laboratoires d'émulation d'adversaires.

Sources concordantes

MITRE ATT&CK - FIN6 — Confirme les techniques d'accès initial et d'exécution attribuées à FIN6, cohérentes avec la démonstration.
MITRE ATT&CK - T1204.002 User Execution: Malicious File — Documente l'exécution de fichiers malveillants par l'utilisateur, technique centrale de la vidéo.

Références externes

Apport & nouveautés

Cette vidéo apporte une démonstration pratique et structurée de l’émulation d’un vecteur d’accès initial attribué à FIN6, en s’appuyant sur un plan d’émulation public et un environnement de laboratoire reproductible. Son originalité réside moins dans la technique elle-même (l’usage de macros Word malveillantes est bien documenté) que dans l’intégration de cette technique dans une chaîne d’attaque complète et pédagogique, avec une attention particulière portée aux choix de configuration qui influencent la discrétion et la stabilité de l’opération. L’explication du paramètre exitfunc et de ses implications sur le processus Word constitue un point d’apport notable pour les praticiens. La vidéo prépare également le terrain pour des épisodes ultérieurs plus approfondis sur le développement manuel de macros VBA et l’élévation de privilèges dans Active Directory.

Pour aller plus loin :

MITRE ATT&CK - FIN6 — Fiche de référence sur le groupe FIN6 et ses techniques documentées.
MITRE ATT&CK - T1204.002 User Execution: Malicious File — Technique d’exécution via fichier malveillant, directement illustrée dans la vidéo.
Metasploit Framework - Module office_word_macro — Documentation officielle du framework utilisé pour générer le document malveillant.
Microsoft - Contournement du contrôle de compte utilisateur (UAC) — Contexte sur le mécanisme d’UAC et les techniques de contournement évoquées en fin de vidéo.

204 mots

Profil radar

Le profil radar montre une forte composante technique et une bonne qualité d'information, portées par une démonstration structurée et des références solides. La quantité d'information est élevée mais reste concentrée sur une phase unique du cycle d'attaque, ce qui limite la couverture globale. La fiabilité est bonne, bien que le contenu soit un tutoriel pratique sans validation externe indépendante.

Fiabilité 7/10