Analyseur de documents Office

Repérez macros VBA, exploits et objets OLE dans un document Word, Excel, PowerPoint, RTF ou PDF, sans l'ouvrir.

Analyse forensique
Cybersécurité
Gratuit

Déposez un document à analyser

Glissez-déposez, collez (Ctrl+V) ou choisissez un fichier. 50 Mo maximum.

Word.doc .docx .docm
Excel.xls .xlsx .xlsm .xlsb
PowerPoint.ppt .pptx .pptm
RTF.rtf
PDF.pdf

100 % local : le fichier ne quitte jamais votre navigateur. Il n’est ni ouvert, ni exécuté, ni envoyé.

Ce que l’analyse détecte

Macros VBA et Excel 4.0
Code source extrait et décompressé, exécution automatique, commandes, téléchargements, obfuscation, feuilles XLM et Auto_Open.
Exploits connus
Follina, Equation Editor, OLE2Link, injection de modèle distant, champs DDE, chemins UNC qui font fuiter le hash NTLM.
PDF piégés
JavaScript, OpenAction, Launch, envoi de formulaire, noms obfusqués et données cachées, à la manière de pdfid.
IOC et rapport
URL classées, domaines, IP, fichiers embarqués, empreintes SHA-256 et SHA-1, export Markdown et JSON.

À propos

Analyseur de documents Office

Déposez un document Word, Excel, PowerPoint, RTF ou PDF (50 Mo max) pour repérer ce qui peut exécuter du code ou contacter l'extérieur : code source des macros VBA, macros Excel 4.0, exploits connus (Follina, Equation Editor, OLE2Link), injection de modèle distant, champs DDE, objets OLE et JavaScript des PDF. Le vrai format est reconnu à ses octets, chaque constat est expliqué et relié à MITRE ATT&CK, et l'analyse aboutit à un niveau de risque sur 100 avec la conduite à tenir. Tout se passe dans votre navigateur : le fichier n'est ni ouvert, ni exécuté, ni envoyé.

Ce que fait l’outil

Word, Excel, PowerPoint (.doc à .docm, .xls à .xlsb, .ppt à .pptm), RTF et PDF, jusqu'à 50 Mo
Code source des macros VBA extrait et surligné : exécution automatique, commandes, téléchargements, persistance, obfuscation
Macros Excel 4.0 (XLM), Auto_Open, feuilles très masquées, formules DDE et WEBSERVICE
Exploits connus : Follina, Equation Editor, OLE2Link, modèle distant, chemins UNC (fuite NTLM), extension trompeuse
PDF façon pdfid : JavaScript, OpenAction, Launch, envoi de formulaire, noms obfusqués, données cachées
Risque sur 100, constats reliés à MITRE ATT&CK, IOC neutralisés (défangés), SHA-256 et SHA-1, export Markdown, JSON et CSV

Questions fréquentes

Quels formats de fichiers sont pris en charge ?

Word (.doc, .docx, .docm, .dot…), Excel (.xls, .xlsx, .xlsm, .xlsb…), PowerPoint (.ppt, .pptx, .pptm, .pps…), RTF et PDF, jusqu'à 50 Mo. Le format réel est déterminé par le contenu : un RTF renommé en .doc est reconnu et signalé.

Que détecte l'analyse ?

Le code des macros VBA (décompressé) et ses comportements à risque, les macros Excel 4.0, les exploits Follina, Equation Editor et OLE2Link, l'injection de modèle distant, les champs DDE, les chemins UNC qui font fuiter l'empreinte (hash) NTLM, les objets OLE et fichiers embarqués, les liens suspects (IP, raccourcisseurs, punycode, ports inhabituels). Pour les PDF : JavaScript, actions automatiques, Launch, envoi de formulaire, noms obfusqués et données après la fin du fichier.

Comment est calculé le niveau de risque ?

Chaque constat a une gravité (critique, élevée, moyenne, faible ou info) qui ajoute des points, plafonnés à 100. Le verdict va de « Aucun indicateur » à « Dangereux », avec la conduite à tenir. Une analyse statique ne prouve pas qu'un fichier est sain : en cas de doute, passez par un bac à sable.

Mon fichier est-il envoyé sur des serveurs tiers ?

Non. Le document est lu et inspecté dans votre navigateur ; il n'est transmis ni à nos serveurs ni à VirusTotal. Seuls les liens de pivot que vous ouvrez (VirusTotal, MalwareBazaar, urlscan…) consultent un service tiers, à partir de l'empreinte ou du domaine.