Niezaufane makra

Niezaufane makra to kod z nieznanego źródła, domyślnie blokowany przez aplikacje biurowe.

Niezaufane makra – czym są i dlaczego budzą ostrożność

Niezaufane makra to fragmenty kodu osadzone w dokumentach biurowych albo dołączone do arkuszy kalkulacyjnych, prezentacji i formularzy. Ich zadaniem może być automatyzowanie powtarzalnych czynności, porządkowanie danych, tworzenie raportów lub wykonywanie operacji, których nie da się wygodnie przeprowadzić ręcznie. Samo występowanie makra nie oznacza jeszcze, że dokument jest szkodliwy. Problem pojawia się wtedy, gdy pochodzenie kodu nie jest znane, autor pliku nie może zostać potwierdzony albo zawartość dokumentu została pobrana z przypadkowego źródła.

Makro może otrzymać uprawnienia pozwalające na wykonywanie działań poza samym dokumentem. W zależności od aplikacji i ustawień systemu może próbować odczytywać pliki, uruchamiać polecenia, komunikować się z siecią lub modyfikować dane. Z tego powodu programy biurowe często traktują kod pochodzący z internetu, załączników pocztowych i nieznanych lokalizacji jako potencjalnie ryzykowny. Ochrona polega zwykle na zablokowaniu automatycznego uruchomienia i wyświetleniu ostrzeżenia.

Ważne jest rozróżnienie między dokumentem zawierającym makro a dokumentem, w którym makro zostało już uruchomione. Plik może być przechowywany bezpiecznie, jeżeli kod pozostaje nieaktywny i zostanie poddany sprawdzeniu. Ryzyko rośnie po kliknięciu przycisku zezwalającego na zawartość aktywną, szczególnie gdy komunikat zachęca do szybkiego działania, obiecuje poprawne wyświetlenie dokumentu albo sugeruje konieczność włączenia makr do odczytania treści.

Niezaufane makra w praktyce – kontekst techniczny i porównania

Makro można porównać do automatycznego pomocnika działającego wewnątrz aplikacji biurowej. Zwykła formuła arkusza oblicza wynik na podstawie określonych komórek, natomiast makro może wykonywać ciąg poleceń, przetwarzać wiele elementów i reagować na zdarzenia, takie jak otwarcie pliku. Taka elastyczność jest przydatna, lecz oznacza także większy zakres możliwych działań. Im szersze uprawnienia środowiska, tym większe znaczenie ma źródło kodu oraz sposób jego uruchamiania.

Nie należy utożsamiać niezaufanego makra z każdym ostrzeżeniem wyświetlanym przez aplikację. Ostrzeżenie może wynikać z braku podpisu cyfrowego, przechowywania pliku w lokalizacji pobranej z internetu, zmiany autora dokumentu albo ustawień zabezpieczeń. Brak podpisu nie stanowi dowodu szkodliwości, ale utrudnia potwierdzenie, kto przygotował kod i czy nie został on zmieniony. Z kolei obecność podpisu nie powinna zastępować rozsądnej oceny, ponieważ zaufanie do wystawcy musi być świadome i aktualne.

Warto odróżnić makra od innych elementów aktywnych. Dokument może zawierać odwołania do zewnętrznych źródeł danych, osadzone obiekty, formularze, dodatki lub skrypty uruchamiane przez inne składniki pakietu biurowego. Każdy z tych mechanizmów ma własny model zabezpieczeń. W praktyce sprawdza się więc nie tylko rozszerzenie pliku, lecz także jego pochodzenie, nadawcę, oczekiwane działanie i kontekst, w którym został otrzymany.

Bezpieczniejsze podejście polega na rozdzieleniu dwóch decyzji: czy dokument jest potrzebny oraz czy kod może zostać uruchomiony. Można zapisać załącznik, sprawdzić go narzędziem ochronnym i otworzyć w trybie ograniczonym, bez udzielania dodatkowych uprawnień. Jeżeli dokument ma być używany regularnie, powinno się ustalić jego właściciela, cel makra, zakres działania i procedurę aktualizacji. W środowisku domowym szczególne znaczenie ma unikanie pochopnego zatwierdzania komunikatów, których treść nie jest zrozumiała.

Niezaufane makra – typowe problemy przy otwieraniu dokumentów

Jednym z częstszych problemów jest komunikat informujący o zablokowaniu makr. Samo zablokowanie nie oznacza awarii programu. Zazwyczaj jest to prawidłowa reakcja ochronna, która ma zapobiec wykonaniu kodu przed jego oceną. Kłopot pojawia się wtedy, gdy użytkownik próbuje usunąć ostrzeżenie bez ustalenia, kto przesłał plik i dlaczego makro jest potrzebne.

Innym przypadkiem jest dokument, który po włączeniu zawartości aktywnej zaczyna działać nietypowo. Może wystąpić spowolnienie aplikacji, pojawienie się dodatkowych okien, zmiana ustawień, tworzenie nieznanych plików, próba nawiązania połączenia z internetem albo nagła zmiana zawartości dokumentu. Nie każdy taki objaw musi wynikać z makra, ponieważ przyczyną może być uszkodzenie pliku, dodatek lub problem z samą aplikacją. Wymagane jest jednak potraktowanie sytuacji jako potencjalnie niebezpiecznej.

Ryzyko zwiększa się także wtedy, gdy dokument pochodzi z wiadomości o nietypowej treści, zawiera presję czasu, odwołuje się do rzekomej blokady konta albo nakłania do włączenia makr w celu odczytania faktury, formularza lub raportu. Zdarza się, że nazwa pliku i opis wiadomości sugerują zwykły dokument, podczas gdy zawartość aktywna została przygotowana do wykonania działań niezwiązanych z deklarowanym celem.

Do problemów technicznych może dojść również po zmianie ustawień zabezpieczeń. Zbyt liberalne ustawienia mogą umożliwić automatyczne uruchamianie kodu z wielu lokalizacji. Zbyt restrykcyjne ustawienia mogą z kolei zablokować legalne dokumenty używane do pracy lub nauki. W takim przypadku nie powinno się wyłączać ochrony globalnie. Lepszym rozwiązaniem jest ustalenie konkretnej lokalizacji zaufanej, sprawdzenie podpisu, skonsultowanie źródła dokumentu albo przygotowanie bezpiecznej kopii bez aktywnej zawartości.

Niezaufane makra – praktyczne wskazówki postępowania

Przed uruchomieniem dokumentu warto ustalić kilka podstawowych informacji. Należy sprawdzić, od kogo plik został otrzymany, czy nadawca rzeczywiście go wysłał, jakiego rodzaju działanie ma wykonać makro oraz czy podobny dokument można uzyskać inną drogą. Jeżeli odpowiedzi są niejasne, kod powinien pozostać wyłączony. Dobrą praktyką jest kontakt z nadawcą przez niezależny kanał, a nie przez dane zawarte wyłącznie w podejrzanej wiadomości.

Dokument można najpierw zapisać w osobnym katalogu i poddać kontroli narzędziem ochronnym. Nie powinno się otwierać go bezpośrednio z okna poczty ani przenosić do katalogu, który automatycznie ufa wszystkim plikom. Przydatne jest także sprawdzenie rozszerzenia. Plik udający arkusz lub dokument tekstowy może mieć dodatkowe elementy w nazwie, nietypowe rozszerzenie albo kilka rozszerzeń zapisanych w sposób mający ukryć prawdziwy typ.

Gdy makro jest potrzebne do legalnej pracy, powinno się potwierdzić jego źródło i ograniczyć zaufanie do konkretnego dokumentu lub wskazanej lokalizacji. Warto zachować wcześniejszą kopię pliku, aby można było porównać zmiany. Przydatne bywa również otwarcie dokumentu na koncie z ograniczonymi uprawnieniami, bez dostępu do poufnych folderów. Nie należy zapisywać haseł w dokumencie i nie powinno się zezwalać na dostęp do danych, które nie są potrzebne do wykonania zadania.

Jeżeli makro zostało już uruchomione i pojawiły się niepokojące objawy, zaleca się odłączyć komputer od sieci, nie wpisywać kolejnych haseł i nie usuwać pochopnie śladów zdarzenia. Warto zanotować nazwę pliku, moment otwarcia, wyświetlone komunikaty oraz wykonane działania. Następnie można przeprowadzić pełne sprawdzenie systemu, skontrolować uruchamiane programy i przejrzeć ostatnio zmodyfikowane dokumenty. Po zdarzeniu zasadne bywa także zmienienie haseł z innego, zaufanego urządzenia.

Niezaufane makra – kiedy zgłosić się do serwisu

Do serwisu warto zgłosić się wtedy, gdy nie można ustalić, czy dokument zawiera bezpieczny kod, gdy ostrzeżenia pojawiają się przy każdym uruchomieniu aplikacji albo gdy po włączeniu makra komputer zaczyna zachowywać się inaczej. Konsultacja jest wskazana również po przypadkowym zezwoleniu na zawartość aktywną, szczególnie gdy wystąpiły zmiany w plikach, nietypowa aktywność sieciowa lub problemy z logowaniem.

W ramach sprawdzenia można przeanalizować ustawienia aplikacji biurowych, lokalizacje zaufane, dodatki, elementy uruchamiane razem z systemem oraz stan dokumentu. Możliwe jest także oddzielenie danych użytkownika od potencjalnie niebezpiecznej zawartości, przygotowanie kopii zapasowej i ustalenie, czy problem dotyczy jednego pliku, czy większej liczby dokumentów. Takie działania pomagają uniknąć sytuacji, w której usunięcie jednego pliku pozostawia zmienione ustawienia albo inne aktywne elementy.

W Warszawie pomoc przy problemach z niezaufanymi makrami można uzyskać w serwisie „Warszawskie Pogotowie Komputerowe 24/7”, gdzie naprawy z reguły realizowane są do 3 dni roboczych. Przy przekazywaniu sprzętu warto opisać, jaki dokument został otwarty, jakie ostrzeżenie wyświetlono i czy po zdarzeniu zmieniło się działanie systemu. Im dokładniejszy opis, tym łatwiej przeprowadzić analizę bez przypadkowego uruchamiania podejrzanego kodu.