Макровирус (macro malware) — вредоносный код на языке макросов документов, чаще всего Visual Basic for Applications (VBA) в файлах Microsoft Office, который запускается, когда жертва открывает документ и включает макросы.
Как работают макровирусы
Приложения Office поддерживают макросы для автоматизации задач. Злоумышленники злоупотребляют этой функцией: встраивают код VBA в документы Word, таблицы Excel или другие файлы и рассылают их в фишинговых письмах под видом счетов, резюме или уведомлений о доставке. Документ обычно показывает фальшивое сообщение с просьбой «включить содержимое». После этого макрос, как правило, запускает PowerShell или VBScript, скачивает загрузчик вредоносного ПО и запускает его. Так же использовались макросы Excel 4.0 (XLM) и встроенные OLE-объекты. В MITRE ATT&CK действие пользователя описано как User Execution: Malicious File (T1204.002).
Почему макровирусы важны
Concept (1995) стал первым массовым макровирусом для Word, а Melissa (1999) распространился по всему миру, рассылая себя контактам из Outlook. В 2010-х документы с макросами стали главным способом доставки Emotet, Dridex, TrickBot и многих шифровальщиков. Ситуация изменилась в 2022 году, когда Microsoft начала по умолчанию блокировать макросы VBA в файлах, скачанных из интернета (помеченных Mark of the Web). Злоумышленники переключились на архивы ISO и ZIP, ярлыки LNK, файлы OneNote и HTML smuggling, но атаки с макросами не исчезли — особенно там, где блокировку отключили.
Как защититься от макровирусов
- Сохранять стандартную блокировку макросов из интернета в Office и отключать макросы через групповые политики для пользователей, которым они не нужны.
- Разрешать только макросы с цифровой подписью доверенных издателей.
- Включить правила Attack Surface Reduction, запрещающие приложениям Office создавать дочерние процессы.
- Учить сотрудников никогда не нажимать «Включить содержимое» в неожиданных документах.
