wiadomość z makrem

Wiadomość z makrem to dokument zawierający kod uruchamiany po zgodzie odbiorcy, częsty nośnik złośliwego oprogramowania.

Jak działa wiadomość z makrem

Wiadomość z makrem to wiadomość elektroniczna zawierająca załącznik lub dokument, w którym zapisano kod automatyzujący działanie aplikacji. Najczęściej chodzi o pliki pakietu Microsoft Office, takie jak dokument Word z rozszerzeniem .docm, arkusz Excel .xlsm albo prezentacja PowerPoint .pptm. Odpowiedniki szablonów z makrami mają rozszerzenia .dotm, .xltm i .potm. Samo rozszerzenie wskazuje, że plik może zawierać makra, ale nie przesądza jeszcze, czy kod jest złośliwy.

Makro jest procedurą wykonywaną przez aplikację, zwykle w języku VBA, czyli Visual Basic for Applications. Może automatycznie formatować dokument, przetwarzać dane, generować raport albo wykonywać operacje dostępne dla użytkownika. W praktyce kod może również odczytywać pliki, uruchamiać inne programy, korzystać z połączeń sieciowych lub modyfikować ustawienia aplikacji, zależnie od uprawnień i konfiguracji systemu. Z tego powodu dokument z makrem należy traktować inaczej niż zwykły plik tekstowy lub arkusz pozbawiony kodu.

Dlaczego załącznik z makrem jest wykorzystywany w atakach

Popularny scenariusz polega na przesłaniu wiadomości podszywającej się pod fakturę, formularz, potwierdzenie zamówienia albo dokument kadrowy. Załącznik może wyglądać jak zwykły dokument, a jego treść nakłania do kliknięcia przycisku „Włącz zawartość” lub „Włącz edytowanie”. Taka czynność może zmienić zachowanie aplikacji i pozwolić na uruchomienie kodu, który wcześniej pozostawał nieaktywny. Samo otwarcie dokumentu nie zawsze oznacza wykonanie makra, ponieważ współczesne wersje pakietu Office stosują mechanizmy ostrzegania i blokowania.

Makro może służyć jako etap pośredni infekcji. Po uruchomieniu może pobrać kolejny plik z sieci, zapisać go w katalogu użytkownika, uruchomić proces systemowy albo przekazać informacje do serwera sterującego. W dokumencie może znajdować się także kod obfuskowany, czyli celowo zaciemniony w taki sposób, aby utrudnić analizę nazw zmiennych, ciągów znaków i kolejności operacji. Ryzyko nie wynika więc z samego faktu użycia VBA, lecz z połączenia nieznanego źródła dokumentu, nakłaniania do aktywacji makr oraz działań wykonywanych przez kod.

Blokowanie i bezpieczna weryfikacja dokumentu

Przed uruchomieniem makra należy sprawdzić pełny adres nadawcy, temat wiadomości, oczekiwany kontekst załącznika oraz rozszerzenie pliku. Dokument z końcówką .docm, .xlsm lub .pptm wymaga większej ostrożności niż odpowiednio plik .docx, .xlsx albo .pptx, które nie przechowują makr VBA w standardowym modelu pakietu Office. Nie należy traktować ikony pliku ani nazwy załącznika jako dowodu bezpieczeństwa, ponieważ nazwa może ukrywać rzeczywiste rozszerzenie albo wykorzystywać kilka spacji i podobne znaki.

W aplikacjach Microsoft 365 i nowszych wersjach pakietu Office makra pochodzące z plików pobranych z Internetu mogą zostać zablokowane na podstawie informacji Mark of the Web zapisanej przez system Windows. Ostrzeżenie nie jest jednak substytutem analizy. Dokument otrzymany z zewnętrznego źródła powinien pozostać zamknięty do czasu potwierdzenia jego pochodzenia innym kanałem komunikacji. Podpis cyfrowy makra może potwierdzać autora certyfikatu i wykrycie późniejszej modyfikacji pliku, ale nie gwarantuje, że zawartość jest zgodna z oczekiwaniami ani że certyfikat należy do osoby, za którą podaje się nadawca.

Postępowanie po uruchomieniu podejrzanego makra

Jeżeli makro zostało uruchomione bez uzasadnionej potrzeby, należy przerwać dalszą pracę z dokumentem, zamknąć aplikację i odłączyć komputer od sieci, jeżeli istnieje podejrzenie pobrania dodatkowego oprogramowania. Nie należy usuwać od razu załącznika, ponieważ jego kopia może być potrzebna do analizy. Warto zanotować nazwę pliku, godzinę otwarcia, wyświetlone komunikaty oraz wykonane czynności. Następnie trzeba sprawdzić procesy uruchomione po otwarciu dokumentu, autostart systemu, zadania zaplanowane i ostatnio utworzone pliki, zachowując ostrożność, aby nie uruchamiać podejrzanego kodu ponownie.

Warszawskie Pogotowie Komputerowe wykonuje profesjonalną diagnostykę i naprawę laptopów oraz komputerów PC, w tym analizę problemów powstałych po otwarciu podejrzanych dokumentów z makrami. Podczas sprawdzania można ocenić stan systemu, obecność niepożądanych procesów, zmiany w konfiguracji oraz działanie podstawowych mechanizmów ochrony. Jeżeli dokument zawierał dane logowania wpisywane po jego otwarciu, hasła należy zmienić z innego, zaufanego urządzenia, ponieważ samo zamknięcie pliku nie cofa ewentualnego przejęcia sesji lub zapisania danych przez uruchomiony kod.