Makro-Malware ist Schadcode in einer Makrosprache für Dokumente, meist Visual Basic for Applications (VBA) in Microsoft-Office-Dateien, der ausgeführt wird, sobald das Opfer das Dokument öffnet und Makros aktiviert.
Wie Makro-Malware funktioniert
Office-Anwendungen unterstützen Makros, um Aufgaben zu automatisieren. Angreifer missbrauchen diese Funktion, indem sie VBA-Code in Word-Dokumente, Excel-Tabellen oder andere Dateien einbetten und diese als Rechnungen, Bewerbungen oder Versandbenachrichtigungen in Phishing-Mails verschicken. Das Dokument zeigt meist eine gefälschte Meldung, die zum „Aktivieren der Bearbeitung“ oder „Inhalt aktivieren“ auffordert. Danach startet das Makro typischerweise PowerShell oder VBScript, lädt einen Malware-Loader herunter und führt ihn aus. Excel-4.0-Makros (XLM) und eingebettete OLE-Objekte wurden auf dieselbe Weise genutzt. MITRE ATT&CK beschreibt den Schritt des Nutzers als User Execution: Malicious File (T1204.002).
Warum Makro-Malware relevant ist
Concept (1995) war das erste weit verbreitete Word-Makrovirus, und Melissa (1999) verbreitete sich weltweit, indem es sich an Outlook-Kontakte verschickte. In den 2010er-Jahren wurden Makro-Dokumente zum wichtigsten Verbreitungsweg für Emotet, Dridex, TrickBot und viele Ransomware-Kampagnen. 2022 änderte sich die Lage: Microsoft begann, VBA-Makros in aus dem Internet geladenen Dateien (gekennzeichnet mit dem Mark of the Web) standardmäßig zu blockieren. Angreifer wichen daraufhin auf ISO- und ZIP-Archive, LNK-Verknüpfungen, OneNote-Dateien und HTML-Smuggling aus, doch makrobasierte Angriffe sind nicht verschwunden – besonders dort, wo die Standardeinstellung ausgehebelt wird.
Wie man sich vor Makro-Malware schützt
- Die standardmäßige Blockierung von Internet-Makros in Office beibehalten und Makros per Gruppenrichtlinie für Nutzer abschalten, die sie nicht brauchen.
- Nur digital signierte Makros vertrauenswürdiger Herausgeber zulassen.
- Regeln zur Verringerung der Angriffsfläche (ASR) aktivieren, die Office-Anwendungen am Starten von Kindprozessen hindern.
- Nutzer schulen, in unerwarteten Dokumenten niemals auf „Inhalt aktivieren“ zu klicken.
