plik z makrem

Plik z makrem to dokument zawierający kod uruchamiany po zgodzie użytkownika — częsty nośnik złośliwego oprogramowania.

Jak działa plik z makrem

Plik z makrem jest dokumentem zawierającym oprócz zwykłej treści także zapisane instrukcje wykonywane przez program obsługujący dany format. Makro może automatyzować powtarzalne czynności, na przykład formatowanie tabeli, generowanie raportu, przeliczanie danych albo przygotowanie korespondencji. W dokumentach pakietu Microsoft Office makra często są tworzone w języku Visual Basic for Applications, określanym skrótem VBA. Sam fakt obecności makra nie oznacza jeszcze, że plik jest złośliwy, ale oznacza, że dokument może wykonywać kod w kontekście uruchamiającego go programu.

Dokumenty z makrami mają zwykle rozszerzenia wskazujące na możliwość przechowywania kodu. W przypadku aplikacji Word jest to między innymi .docm, w przypadku Excela .xlsm, a w przypadku PowerPointa .pptm. Dla porównania rozszerzenia .docx, .xlsx i .pptx służą do dokumentów opartych na formacie Office Open XML, w których standardowo nie zapisuje się makr VBA. Próba zapisania dokumentu zawierającego makro w formacie bez obsługi makr może spowodować jego usunięcie z pliku, dlatego aplikacje ostrzegają przed wyborem niewłaściwego typu zapisu.

Uruchamianie kodu i decyzja użytkownika

Makro nie musi zostać wykonane natychmiast po otwarciu dokumentu. Zachowanie zależy od ustawień zabezpieczeń aplikacji, pochodzenia pliku, jego podpisu cyfrowego oraz sposobu otwarcia. Microsoft Office może otworzyć dokument w widoku chronionym albo zablokować makra, szczególnie gdy plik pochodzi z Internetu lub został otrzymany jako załącznik. W takich sytuacjach użytkownik może zobaczyć pasek ostrzegawczy z prośbą o włączenie edycji albo zawartości. Kliknięcie przycisku zezwalającego na działanie makr zmienia sytuację bezpieczeństwa dokumentu, ponieważ kod uzyskuje możliwość wykonania operacji dostępnych dla aplikacji.

Złośliwy plik z makrem może próbować uruchomić program systemowy, pobrać kolejny plik, zmienić ustawienia aplikacji, odczytać informacje dostępne dla bieżącego konta albo wyświetlić fałszywy komunikat nakłaniający do dalszych działań. Zakres skutków zależy od wersji oprogramowania, konfiguracji systemu, uprawnień użytkownika i zastosowanych zabezpieczeń. Makro może również zawierać kod utrudniający analizę, na przykład bardzo długie lub celowo nieczytelne nazwy zmiennych, zakodowane ciągi znaków i instrukcje uruchamiane dopiero po określonej czynności. Dlatego dokument otrzymany z nieznanego źródła powinien pozostać zamknięty, a makr nie należy włączać tylko po to, aby usunąć ostrzeżenie wyświetlane przez program.

Rozpoznawanie ryzyka w dokumentach biurowych

Podczas oceny pliku warto zwrócić uwagę na rozszerzenie, źródło dokumentu, niespodziewaną treść oraz żądania wyświetlane po otwarciu. Ryzyko jest większe, gdy wiadomość nakłania do pilnego włączenia zawartości, informuje o rzekomym błędzie kodowania albo wymaga aktywowania makr w celu odczytania faktury, formularza czy zamówienia. Należy także uważać na pliki, których rozszerzenie jest ukryte przez ustawienia Eksploratora Windows. Nazwa wyglądająca jak dokument może w rzeczywistości zawierać inne rozszerzenie, dlatego przydatne jest włączenie wyświetlania rozszerzeń znanych typów plików.

Bezpieczna analiza powinna odbywać się bez włączania makr i bez otwierania podejrzanego dokumentu w zwykłym środowisku pracy. Można sprawdzić plik programem antywirusowym, skorzystać z aktualnego systemu oraz porównać nadawcę i treść wiadomości niezależnym kanałem. Podpis cyfrowy makra może pomóc ustalić, czy kod został podpisany przez znanego wydawcę, ale sam wygląd dokumentu lub nazwa autora nie potwierdza jego bezpieczeństwa. Podpis należy interpretować razem ze źródłem pliku, zakresem oczekiwanej funkcji i aktualnością certyfikatu. Jeżeli dokument po otwarciu powoduje nietypowe zachowanie systemu, pojawienie się nowych procesów, przekierowania przeglądarki lub komunikaty o pobieraniu dodatkowych składników, warto przerwać pracę i odłączyć komputer od sieci do czasu sprawdzenia sytuacji.

Sprawdzanie komputera po otwarciu podejrzanego pliku

Jeżeli makro zostało włączone, pierwszym krokiem jest zapisanie informacji o zdarzeniu: nazwy pliku, jego lokalizacji, źródła, czasu otwarcia oraz komunikatów pokazanych przez aplikację. Nie należy ponownie otwierać dokumentu ani uruchamiać go z innego programu w celu porównania zachowania. W zależności od objawów sprawdza się historię ochrony systemu, uruchomione procesy, elementy autostartu, zadania zaplanowane oraz ostatnio utworzone pliki. Przydatne jest również ustalenie, czy po otwarciu dokumentu pojawił się nowy proces potomny aplikacji biurowej lub połączenie z nieznanym adresem sieciowym. Sama obecność procesu nie jest dowodem infekcji, dlatego wyniki trzeba oceniać w powiązaniu z czasem zdarzenia i innymi oznakami.

W przypadku podejrzenia uruchomienia złośliwego kodu należy przerwać korzystanie z komputera do zadań wymagających logowania, a następnie przeprowadzić aktualne skanowanie i analizę systemu. Jeżeli na urządzeniu znajdują się ważne pliki, nie powinno się ich bezrefleksyjnie kopiować na inne komputery, ponieważ zainfekowany dokument może zostać przekazany dalej. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC oraz ich podzespołów, w tym diagnostyką problemów z oprogramowaniem po otwarciu podejrzanego pliku z makrem.