Zdalne uruchamianie makr

Zdalne uruchamianie makr wymaga zaufania do źródła dokumentu, ponieważ kod jest wykonywany bez lokalnej weryfikacji.

Na czym polega zdalne uruchamianie makr

Zdalne uruchamianie makr oznacza wykonanie zapisanych instrukcji programu w dokumencie, arkuszu kalkulacyjnym albo innym pliku otwieranym na komputerze, mimo że plik lub polecenie pochodzi z innego urządzenia, serwera, wiadomości albo lokalizacji sieciowej. Makro jest zwykle krótkim programem automatyzującym czynności wykonywane w aplikacji. Może na przykład formatować dane, tworzyć raport, przetwarzać zawartość arkusza albo wykonywać operacje na otwartym dokumencie. Sam fakt automatyzacji nie oznacza jeszcze złośliwego działania, ale uruchomienie kodu z niezaufanego źródła może zmienić sposób pracy aplikacji i systemu.

Istotne jest rozdzielenie dwóch sytuacji. W pierwszej użytkownik świadomie uruchamia makro w dokumencie znajdującym się na zaufanym komputerze lub w kontrolowanej lokalizacji. W drugiej dokument jest dostarczany zdalnie, a zawarty w nim kod próbuje wykonać się po otwarciu pliku albo po zaakceptowaniu komunikatu bezpieczeństwa. W tym drugim przypadku źródło dokumentu, jego pochodzenie i oczekiwane działanie makra mają większe znaczenie niż sama nazwa pliku. Zdalne pochodzenie nie jest dowodem szkodliwości, lecz zwiększa potrzebę weryfikacji.

Dlaczego źródło dokumentu ma znaczenie

Aplikacja obsługująca makra może stosować mechanizmy zaufania, które wpływają na to, czy kod zostanie uruchomiony automatycznie, z ostrzeżeniem, czy dopiero po wyraźnej decyzji użytkownika. Znaczenie mogą mieć między innymi lokalizacja pliku, podpis cyfrowy projektu, ustawienia zasad bezpieczeństwa oraz informacja, czy plik został pobrany z Internetu lub otrzymany jako załącznik. Komunikat ostrzegawczy nie jest formalnym potwierdzeniem, że dokument jest złośliwy. Jest sygnałem, że aplikacja nie może bezpiecznie potwierdzić pochodzenia albo intencji kodu.

Podpis cyfrowy makra pozwala sprawdzić, czy projekt został podpisany określonym certyfikatem i czy zawartość nie zmieniła się po podpisaniu. Nie oznacza jednak, że każdy podpisany kod jest bezpieczny, ponieważ bezpieczeństwo zależy także od tego, czy certyfikat należy do wiarygodnego autora oraz czy autor rzeczywiście powinien dostarczać dany dokument. Dokument może również pochodzić z lokalizacji uznanej za zaufaną, a mimo to zawierać kod, którego działanie nie odpowiada potrzebom użytkownika. Zaufanie powinno więc dotyczyć jednocześnie źródła, autora, celu dokumentu i zakresu wykonywanych operacji.

Jak ocenić działanie makra przed wykonaniem

Przed włączeniem makr warto ustalić, kto przekazał dokument, dlaczego dokument wymaga automatyzacji i czy jego zawartość odpowiada oczekiwanemu zadaniu. Należy zwrócić uwagę na nietypowe żądanie włączenia zawartości, presję czasu, niezgodność nazwy nadawcy z adresem wiadomości oraz dokument, który po otwarciu pokazuje pustą lub niepełną treść i nakłania do aktywowania makr. Takie objawy nie dowodzą ataku, ale uzasadniają przerwanie pracy i dodatkową weryfikację pliku poza aplikacją, w której ma zostać wykonany kod.

Nie należy traktować wyłączenia ostrzeżeń jako metody naprawy problemu. Stałe zezwolenie na makra albo dodawanie przypadkowych katalogów do lokalizacji zaufanych obniża poziom kontroli nad kolejnymi dokumentami. Bezpieczniejsza analiza polega na zachowaniu kopii pliku, sprawdzeniu jego pochodzenia, aktualności aplikacji zabezpieczających i historii uruchamiania, a następnie na porównaniu działania dokumentu z wersją uzyskaną z niezależnego, potwierdzonego źródła. Jeżeli makro już zostało wykonane, trzeba sprawdzić między innymi nietypowe procesy, nowe pliki, zmiany konfiguracji aplikacji oraz powtarzające się komunikaty bezpieczeństwa. Samo usunięcie dokumentu nie musi cofnąć wszystkich zmian wykonanych przez kod.

Diagnostyka komputera po uruchomieniu niepewnego kodu

Po uruchomieniu makra z niepewnego dokumentu diagnostyka powinna objąć zarówno aplikację, w której otwarto plik, jak i system operacyjny. Warto odnotować dokładny czas zdarzenia, nazwę pliku, źródło dokumentu, wyświetlone ostrzeżenia oraz czynności wykonane po ich zaakceptowaniu. Pomocne jest porównanie zachowania komputera przed i po otwarciu pliku: spowolnienie, samoczynne uruchamianie aplikacji, pojawienie się nieznanych dokumentów, zmiany w ustawieniach zabezpieczeń lub nietypowa komunikacja sieciowa mogą wskazywać, że kod wykonał dodatkowe operacje. Wnioski powinny wynikać z zebranych oznak, a nie wyłącznie z samego faktu użycia makra.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, w tym diagnostyką problemów pojawiających się po uruchomieniu niepewnego dokumentu lub makra. W zależności od objawów sprawdzenia mogą dotyczyć stanu systemu, aplikacji biurowej, ustawień uruchamiania oraz skutków zmian dokonanych podczas pracy z plikiem. Przed rozpoczęciem diagnostyki należy zachować dokument i podstawowe informacje o zdarzeniu, a w razie podejrzenia trwającej aktywności kodu ograniczyć dalsze otwieranie tego pliku.