Office będzie blokować makra z internetu. To dziś częste źródło infekcji

Microsoft ogłosił, że pakiet Office już wkrótce przestanie pozwalać na uruchomienie makr w plikach z internetu. To słuszna, acz często niepoprawnie rozumiana decyzja. Co tak naprawdę ulegnie zmianie? Przecież makra są zablokowane już dziś…

Dla jasności: Microsoft nie wyłącza obsługi makr (chyba, że chodzi o makra Excel 4.0 z 1992 roku). Ich uruchomienie będzie po prostu niemożliwe, jeżeli plik jest pobrany z internetu. Aby uruchomić makro w pliku niepochodzącym z naszego komputera, konieczne będzie zapisanie go w "folderze osobistym" (a więc poza pamięcią podręczną przeglądarki internetowej/programu pocztowego). Dopiero wtedy możliwe będzie uruchomienie makra. Lecz nawet wtedy, domyślnie zawartość aktywna będzie wymagała ręcznego wystartowania.

Na przestrzeni lat Microsoft wiele razy ogłaszał zmiany potocznie komentowane jako "zablokowanie makr". Office 2000 wprowadził okienko z pytaniem, czy chcemy uruchomić dołączone do dokumentu makro (wcześniej uruchamiały się automatycznie). Office 2003 mocno ograniczył obejścia tego mechanizmu i rozszerzył ochronę na obiekty zagnieżdżone. Office 2010 stosuje Widok Chroniony i wyłącza więcej rzeczy niż tylko makra. A niedawne aktualizacje pakietu poprawiły też ochronę Okienka Poglądu dla dokumentów.

Każdy z tych kroków nazywano blokowaniem makr. Tymczasem najnowsza zmiana zwiększa jedynie agresywność widoku chronionego. Kiedy ten widok w ogóle jest stosowany? Od czego zależy, czy dokument otworzy się "po prostu", czy w widoku chronionym?

To, w jakiej postaci Office przedstawi otwierany dokument, jest zależne od tego, czy jest on pobrany z internetu. Ale co to znaczy? Nierzadko wszystkie dokumenty są "pobrane z internetu". Poza tym kiedy dokument przestaje taki być? Gdy naniesiemy zmiany? Jak istotne?

Odpowiedź na te pytania jest bardzo jednoznaczna. Pliki są oznaczane jako pobrane z internetu przez system. Jest to cecha (nie atrybut!) pliku, przechowywana w jego strumieniu alternatywnym (ADS) o nazwie Zone.Identifier. Gdy aplikacje Windows oraz zgodne programy dokonują pobierania pliku na dysk albo otwierają go z pamięci podręcznej, zapisują one plik z dodatkową etykietą, informującą o tym, że plik nie jest autorstwa użytkownika, a został pobrany z innego komputera, niezaufanego udziału sieciowego lub z internetu.

Plik można "odblokować" ręcznie, w jego Właściwościach. Można też użyć komendy środowiska PowerShell. W przypadku dokumentów Office, można je otworzyć, wyłączyć widok chroniony i nanieść zmiany. Plik staje się wtedy "nasz".

Dziś zewnętrzne pliki zawierające makra uruchamiają się w widoku chronionym (blokującym "wszystko": makra, skrypty, wiele obiektów itp.). Wyłączenie widoku chronionego pozwala wyświetlić plik, ale makra dalej są wyłączone. Możliwe jest zatrzymanie tej blokady i uruchomienie makra, wybierając "zezwól na zawartość aktywną".

A więc różnica w obsłudze plików pobranych z internetu będzie następująca: po nadchodzącej aktualizacji (w kwietniu dla Office 365, później dla wersji LTSC oraz klasycznych), wyłączenie widoku chronionego wciąż nie umożliwi uruchomienia makra. Plik będzie trzeba "odblokować" samodzielnie.

Mimo ponaddwudziestoletniej historii, mailowe kampanie z makrowirusami w załącznikach wciąż są istotnym źródłem infekcji złodziejami haseł, koparkami kryptowalut i szyfrantami ransomware. Niniejsza zmiana nieco utrudni życie przestępcom, aczkolwiek do głowy przychodzi bardzo łatwa metoda obejścia, o której Microsoft nie wspomina. Złośliwe pliki zaczną być wysyłane jako archiwa RAR lub 7z.

Program 7-Zip (oraz wiele innych archiwizatorów, acz systemowa obsługa ZIP już nie) nie oznacza wypakowywanych plików jako pobrane z internetu, jeżeli archiwum z którego pochodzą, także pochodzi z internetu. W ten sposób wprowadzane zabezpieczenie okaże się całkowicie nieskuteczne. Ups.

O wiele przydatniejszym rozwiązaniem byłoby domyślne włączenie reguły redukcyjnej systemowego Defendera, uniemożliwiającej pakietowi Office forkowanie innych procesów. Zablokowałoby to możliwość wykonywania kodu Visual Basic i PowerShell. Makrowirusy nie sieją wszak spustoszenia tylko wewnątrz pliku. Próbują z niego wyskoczyć, a żeby było to możliwe, muszą poprosić o pomoc WSH, Internet Explorera lub środowisko PowerShell.

Reguła ta pozostaje jednak wyłączona, ukryta, szerzej nieznana i teoretycznie dostępna tylko dla klientów licencjonowania korporacyjnego. Przy tak wprowadzanych ograniczeniach, liczba infekcji długo jeszcze nie będzie pod kontrolą.