Un file VBS è un file script Visual Basic utilizzato dal supporto di scripting di Windows. Può eseguire comandi, avviare programmi, leggere o scrivere file e concatenarsi con altri strumenti senza bisogno di un eseguibile compilato separato. Poiché è un formato nativo di Windows, spesso appare come una normale attività di amministrazione o automazione.
Negli attacchi informatici, i file VBS sono comunemente usati come launcher o dropper. Un attaccante può allegare uno script a un'email, nasconderlo in un archivio o usarlo per avviare PowerShell, scaricare un payload o eseguire un implant di seconda fase. Questo è importante perché i launcher basati su script possono eludere i sospetti dell'utente e, a volte, superare semplici controlli basati sui file. I difensori cercano l'esecuzione sospetta di script, catene anomale di processi padre-figlio, contenuti codificati e file VBS che avviano attività di rete o richiamano strumenti di sistema al di fuori del normale flusso di lavoro.