El malware de macro es código malicioso en un lenguaje de macros, casi siempre VBA en archivos de Microsoft Office, que se ejecuta cuando la víctima abre el documento y habilita las macros.
Cómo funciona el malware de macro
Office admite macros, escritas en Visual Basic for Applications (VBA), para automatizar tareas. Los atacantes incrustan código VBA en documentos de Word, hojas de Excel u otros archivos que envían como facturas, currículos o avisos de entrega en correos de phishing. El documento suele mostrar un mensaje falso que pide «habilitar contenido». Una vez habilitada, la macro normalmente lanza PowerShell o VBScript, descarga un loader de malware y lo ejecuta. Las macros de Excel 4.0 (XLM) y los objetos OLE incrustados se usaron del mismo modo. MITRE ATT&CK recoge el paso del usuario como User Execution: Malicious File (T1204.002).
Por qué importa el malware de macro
Concept (1995) fue el primer virus de macro de Word muy extendido, y Melissa (1999) se propagó por todo el mundo enviándose a los contactos de Outlook. En la década de 2010, los documentos con macros se convirtieron en la principal vía de entrega de Emotet, Dridex, TrickBot y muchas campañas de ransomware. El panorama cambió en 2022, cuando Microsoft empezó a bloquear por defecto las macros VBA en archivos descargados de internet (marcados con la Mark of the Web). Los atacantes pasaron a archivos ISO y ZIP, accesos directos LNK, archivos de OneNote y HTML smuggling, pero los ataques con macros no han desaparecido, sobre todo donde se anula esa configuración.
Cómo protegerse del malware de macro
- Mantener el bloqueo predeterminado de macros de internet en Office y desactivar las macros por directiva de grupo para quien no las necesite.
- Permitir solo macros firmadas digitalmente por editores de confianza.
- Activar las reglas de reducción de la superficie de ataque (ASR) que impiden a Office crear procesos hijo.
- Enseñar a los usuarios a no pulsar nunca «Habilitar contenido» en documentos inesperados.
