Макровирус¶

Макровирус — это разновидность компьютерного вируса, написанного на макроязыках, встроенных в прикладные программные пакеты (например, Microsoft Office, LibreOffice, AutoCAD). Основной особенностью макровирусов является то, что они заражают не исполняемые файлы операционной системы, а документы и шаблоны, содержащие макросы — программы на языке VBA (Visual Basic for Applications) или аналогичных. Макровирусы активируются при открытии заражённого документа в соответствующем приложении и могут выполнять деструктивные действия, распространяться на другие документы или системы.

¶История

Первые макровирусы появились в середине 1990-х годов, когда пакет Microsoft Office стал широко распространённым, а макросы VBA — мощным, но слабо защищённым инструментом автоматизации. Одним из первых и наиболее известных макровирусов стал Concept (1995 год), заражавший документы Microsoft Word. Он распространялся через шаблоны Normal.dot и не наносил серьёзного ущерба, но продемонстрировал уязвимость офисных приложений.

В 1996 году появился макровирус Laroux, нацеленный на Microsoft Excel — он заражал рабочие книги и мог повреждать данные. В 1997 году вирус Melissa (названный в честь стриптизёрши из Флориды) сочетал макровирусные механизмы с массовой рассылкой по электронной почте, что привело к крупной эпидемии: по оценкам, ущерб от Melissa составил около 80 миллионов долларов. В 1999 году вирус W97M.Melissa (разновидность) был признан одним из самых разрушительных на тот момент.

С развитием систем безопасности (отключение макросов по умолчанию, подписанные макросы, антивирусные базы) частота появления новых макровирусов снизилась, однако они остаются актуальной угрозой, особенно в корпоративных средах, где макросы используются для легитимных целей.

¶Механизм работы

¶Заражение документа

Макровирус внедряет свой код в макросы документа или шаблона. При открытии заражённого файла приложение (например, Word или Excel) выполняет макросы автоматически, если настройки безопасности это разрешают. Вирус может:

• копировать себя в глобальный шаблон (Normal.dot в Word, Personal.xlsb в Excel), что обеспечивает заражение всех последующих документов;
• перезаписывать или модифицировать существующие макросы;
• создавать новые макросы, привязанные к событиям (открытие, закрытие, сохранение документа).

¶Распространение

После активации макровирус ищет другие документы на локальном диске или сетевых ресурсах и заражает их. Некоторые варианты используют электронную почту: вирус может считывать адресную книгу и рассылать себя в виде вложения. Например, Melissa использовала Outlook для массовой рассылки.

¶Деструктивные действия

В зависимости от целей создателя, макровирус может:

• удалять или повреждать файлы;
• изменять содержимое документов (например, вставлять текст или изображения);
• красть данные (пароли, документы);
• устанавливать дополнительное вредоносное ПО (трояны, кейлоггеры);
• выводить из строя приложение или операционную систему.

¶Классификация

Макровирусы можно классифицировать по нескольким признакам:

¶По типу приложения

• Word-макровирусы (например, W97M, WM) — заражают документы Microsoft Word.
• Excel-макровирусы (X97M, XM) — заражают электронные таблицы.
• PowerPoint-макровирусы (P97M) — заражают презентации.
• Access-макровирусы (A97M) — заражают базы данных.
• Макровирусы для LibreOffice/OpenOffice — используют макроязык StarBasic, но встречаются реже.
• Макровирусы для AutoCAD — написаны на AutoLISP или VBA для AutoCAD.

¶По способу распространения

• Локальные — распространяются только через файлы на одном компьютере или в локальной сети.
• Почтовые — используют электронную почту для массовой рассылки (например, Melissa, ILOVEYOU).

¶По деструктивности

• Неопасные — только размножаются, не нанося вреда (например, Concept).
• Опасные — повреждают данные или нарушают работу системы.
• Крайне опасные — могут уничтожить все документы или установить бэкдоры.

¶Примеры известных макровирусов

• Concept (1995) — первый массовый макровирус для Word. Заражал шаблон Normal.dot, не нанося вреда.
• Laroux (1996) — первый макровирус для Excel. Повреждал листы и мог удалять данные.
• Melissa (1999) — сочетал макровирусные механизмы с почтовой рассылкой. Вызвал эпидемию, затронувшую тысячи организаций. Создатель Дэвид Смит был осуждён на 20 месяцев тюрьмы.
• ILOVEYOU (2000) — хотя основной код был написан на VBScript, он использовал макровирусные приёмы для заражения документов и массовой рассылки. Нанёс ущерб в миллиарды долларов.
• W97M.SnowWhite — вариант, скрывающийся в документах Word и крадущий пароли.
• X97M.Skylar — макровирус для Excel, изменяющий формулы и повреждающий таблицы.

¶Защита от макровирусов

¶Настройки безопасности приложений

• Отключение автоматического выполнения макросов (в Microsoft Office по умолчанию с 2016 года макросы отключены для документов из интернета).
• Использование цифровых подписей для легитимных макросов.
• Включение режима защищённого просмотра (Protected View).

¶Антивирусное ПО

Современные антивирусы (например, Kaspersky, Dr.Web, ESET) содержат сигнатурные и эвристические анализаторы, способные обнаруживать макровирусы на основе их поведения или сигнатур. Регулярное обновление антивирусных баз обязательно.

¶Пользовательские меры

• Не открывать подозрительные вложения электронной почты, особенно с макросами.
• Не включать макросы для документов из ненадёжных источников.
• Использовать политики групповой безопасности (GPO) для отключения макросов в корпоративных средах.

¶Современное состояние

С середины 2000-х годов количество новых макровирусов снизилось, но они не исчезли полностью. В 2010-х годах наблюдался рост атак с использованием макросов в комбинации с социальной инженерией: злоумышленники рассылают документы, содержащие вредоносные макросы, под видом счетов, резюме или официальных писем. Например, в 2017 году вирус Locky (шифровальщик) распространялся через макросы в документах Word. В 2022 году исследователи отмечали макровирусы, нацеленные на LibreOffice, что связано с ростом популярности этого пакета в государственных учреждениях ряда стран.

Макровирусы остаются угрозой для организаций, где макросы используются для легитимных бизнес-процессов, и требуют комплексного подхода к защите.

¶Источники

• Microsoft Security Response Center. "Macro Viruses: History and Prevention." Microsoft Docs, 2023.
• Symantec. "Understanding Macro Viruses." Symantec Security Response, 2000.
• Kaspersky Lab. "What is a Macro Virus?" Kaspersky Encyclopedia, 2024.
• Dr.Web. "Макровирусы: история и методы защиты." Dr.Web Knowledge Base, 2023.
• CERT. "Macro Viruses: A Continuing Threat." Carnegie Mellon University, 2019.