Макровірус (macro malware) — шкідливий код мовою макросів документів, найчастіше Visual Basic for Applications (VBA) у файлах Microsoft Office, який запускається, коли жертва відкриває документ і вмикає макроси.
Як працюють макровіруси
Застосунки Office підтримують макроси для автоматизації завдань. Зловмисники зловживають цією функцією: вбудовують код VBA в документи Word, таблиці Excel чи інші файли й розсилають їх у фішингових листах під виглядом рахунків, резюме або повідомлень про доставку. Документ зазвичай показує фальшиве повідомлення з проханням «увімкнути вміст». Після цього макрос, як правило, запускає PowerShell або VBScript, завантажує завантажувач шкідливого ПЗ і запускає його. Так само використовували макроси Excel 4.0 (XLM) і вбудовані OLE-об’єкти. У MITRE ATT&CK дію користувача описано як User Execution: Malicious File (T1204.002).
Чому макровіруси важливі
Concept (1995) став першим масовим макровірусом для Word, а Melissa (1999) поширився світом, розсилаючи себе контактам з Outlook. У 2010-х документи з макросами стали головним способом доставки Emotet, Dridex, TrickBot і багатьох програм-вимагачів. Ситуація змінилася 2022 року, коли Microsoft почала за замовчуванням блокувати макроси VBA у файлах, завантажених з інтернету (позначених Mark of the Web). Зловмисники перейшли на архіви ISO та ZIP, ярлики LNK, файли OneNote і HTML smuggling, але атаки з макросами не зникли — особливо там, де блокування вимкнули.
Як захиститися від макровірусів
- Зберігати стандартне блокування макросів з інтернету в Office і вимикати макроси через групові політики для користувачів, яким вони не потрібні.
- Дозволяти лише макроси з цифровим підписом довірених видавців.
- Увімкнути правила Attack Surface Reduction, які забороняють застосункам Office створювати дочірні процеси.
- Навчати працівників ніколи не натискати «Увімкнути вміст» у неочікуваних документах.
