Microsoft już niedługo domyślnie zablokuje makra Office, pochodzące z Internetu.

Makra pakietu MS Office, to chyba jedna częściej wykorzystywanych funkcji w atakach phishingowych. Złośliwe makra w dość łatwy sposób są w stanie zapewnić atakującym przyczółek w sieci ofiary. A później już z górki – może być infekowana cała sieć.

Ale powiecie: przecież żeby włączyć Makro (czyli potencjalnie uruchomić złośliwy kod na swoim komputerze) trzeba dodatkowo kliknąć przycisk 'Włącz zawartość’:

No tak, ale niedługo dla makr pobranych z Internetu, ten przycisk nie będzie w ogóle widoczny (czyli ciekawski użytkownik nawet nie będzie miał okazji go kliknąć):

Microsoft tak podsumowuje zmiany, które mają zacząć wchodzić w życie w kwietniu tego roku:

VBA macros obtained from the internet will now be blocked by default.

Powód zmian:

Cyberzbóje nadal atakują naszych klientów, wysyłając dokumenty i nakłaniając ich do włączenia złośliwych makr. Zazwyczaj złośliwy kod jest częścią dokumentu pochodzącego z Internetu (załącznik do wiadomości e-mail, strona hostująca makro). Złośliwy kod uzyskuje dostęp do tożsamości, dokumentów i sieci osoby, która go aktywowała.

A wide range of threat actors continue to target our customers by sending documents and luring them into enabling malicious macro code.  Usually, the malicious code is part of a document that originates from the internet (email attachment, link, internet download, etc.).  Once enabled, the malicious code gains access to the identity, documents, and network of the person who enabled it.

Jak Windows określa, że dany plik został „pobrany z internetu”? Służy do tego mechanizm Mark of the Web, który działa dość prosto:

• Program (np. przeglądarka, program pocztowy) przy zapisywaniu pliku dodaje odpowiednią informację poprzez ADS (Alternate Data Stream). Można to rozumieć jako dodanie metadanych do pliku.
  
  Uwaga na marginesie: ADS to właściwość NTFS-a, więc jeśli przeniesiecie plik na inny filesystem, plik już nie będzie wyglądał jak „pobrany z internetu”. To samo może się stać jeśli spakujecie plik programem, który nie obsługuje ADSów.
• Powyższa metadana ma postać zmiennej o nazwie ZoneID.
• ZoneID=3 oznacza plik pobrany z Internetu
• Teraz jeśli MS Office otwiera plik, sprawdza jego ZoneID. Jeśli będzie to trzy (a plik chciałby uruchomić makro) wyświetli się następujący komunikat:

Pełen schemat obsługi makr w nowych wersjach Office ma wyglądać tak (bloki po prawej opisaliśmy powyżej):

~Michał Sajdak