🔐 Ochrona przed złośliwymi makrami w dokumentach Office – kompletny poradnik

Makra w pakiecie Microsoft Office to potężna funkcjonalność umożliwiająca automatyzację zadań, jednak w rękach cyberprzestępców stają się śmiertelnym zagrożeniem. Ataki z wykorzystaniem złośliwych makr w plikach .doc, .docm, .xls, .xlsm czy .pptm są jednym z najczęstszych wektorów infekcji ransomware, spyware oraz trojanów zdalnego dostępu (RAT).

W tym poradniku dowiesz się:

• jak działa atak z użyciem złośliwego makra,
• jak się przed nim chronić,
• jak zabezpieczyć całą organizację lub domowy komputer przed takim zagrożeniem.

🦠 Jak działa złośliwe makro?

1. Ofiara otrzymuje e-mail z załącznikiem Word/Excel zawierającym ukryte makro (np. plik .docm).
2. Po otwarciu dokumentu pojawia się sugestia: „Włącz zawartość”.
3. Użytkownik klikając „Włącz makra”, uruchamia złośliwy kod VBA.
4. Makro pobiera z Internetu malware, np. ransomware lub trojana i uruchamia go w systemie.
5. Dochodzi do infekcji komputera, zaszyfrowania danych lub kradzieży informacji.

⚙️ Najczęstsze pliki używane do ataków

• .docm, .xlsm, .pptm – makra w Office
• .doc/.xls z ukrytym kodem VBA (starszy format)
• .rtf z exploitami
• .zip zawierający pliki Office z makrami

🧱 Jak się chronić przed złośliwymi makrami – praktyczne kroki

✅ 1. Wyłącz makra w ustawieniach Office

Najważniejszy krok – zablokuj uruchamianie makr ze źródeł zewnętrznych.

Dla pojedynczego komputera:

1. Otwórz Word lub Excel.
2. Wejdź w: Plik > Opcje > Centrum zaufania > Ustawienia Centrum zaufania.
3. Przejdź do: Ustawienia makr.
4. Wybierz:
   • 🔒 Wyłącz wszystkie makra bez powiadomienia
   • lub 🛡️ Wyłącz wszystkie makra z powiadomieniem (bezpieczniej, ale z opcją ręczną)
   • oraz zaznacz ✅ „Wyłącz wszystkie makra z wyjątkiem makr podpisanych cyfrowo”

Dla firm (GPO/Intune):

• Skonfiguruj zasadę grupy:
  User Configuration > Administrative Templates > Microsoft Office > Security Settings > VBA Macro Notification Settings
• Wybierz:
  • „Disable all except digitally signed macros”
  • lub „Disable all macros without notification”

✅ 2. Włącz „Blokowanie makr z Internetu”

Od Office 2022 i Microsoft 365, pliki pobrane z Internetu są oznaczane atrybutem MOTW (Mark of the Web). Office może blokować makra z takich źródeł automatycznie.

Jak sprawdzić:

• Prawym przyciskiem myszy na pliku > „Właściwości” > jeśli widzisz checkbox „Odblokuj” – plik pochodzi z Internetu.

Jak włączyć blokadę:

W GPO:

User Configuration > Administrative Templates > Microsoft Office [Version] > Security Settings > Block macros from running in Office files from the Internet

Ustaw: Enabled

✅ 3. Używaj tylko zaufanych lokalizacji dla plików z makrami

• W Centrum Zaufania można zdefiniować ścieżki (np. C:\PlikiZaufane\) jako zaufane lokalizacje, gdzie makra są dozwolone.
• Dzięki temu np. dział księgowości może korzystać z makr bez narażenia na infekcje z Internetu.

✅ 4. Stosuj oprogramowanie EDR / antywirus z ochroną makr

Nowoczesne programy zabezpieczające wykrywają i blokują makra, które:

• próbują pobierać dane z sieci,
• wykonują polecenia PowerShell, WMI, CMD,
• uruchamiają skrypty (np. ransomware, RAT).

Rekomendowane rozwiązania:

• Microsoft Defender for Endpoint
• ESET Protect
• Bitdefender GravityZone
• CrowdStrike Falcon
• Kaspersky Endpoint Security

✅ 5. Edukacja użytkowników

Makra nie infekują systemu same – potrzebują kliknięcia „Włącz zawartość”.

Szkolenie powinno obejmować:

• Nie otwieraj dokumentów z nieznanych źródeł.
• Nie włączaj makr w plikach z Internetu.
• Nie otwieraj .doc/.xls zamiast .docx/.xlsx – to starsze, mniej bezpieczne formaty.

✅ 6. Funkcje Microsoft 365 (dla organizacji)

• Safe Attachments – automatycznie analizuje załączniki w sandboxie.
• Safe Links – sprawdza odnośniki w wiadomościach e-mail.
• Attack Surface Reduction Rules (ASR) – pozwala całkowicie zablokować uruchamianie makr Office, które próbują uruchamiać inne procesy.

Przykład reguły ASR:

Rule: Block all Office applications from creating child processes
GUID: D4F940AB-401B-4EFC-AADC-AD5F3C50688A

🔄 Co zrobić, jeśli otworzyłeś dokument z makrem?

1. Natychmiast zamknij aplikację Office (Alt+F4).
2. Odłącz komputer od sieci (jeśli masz podejrzenie infekcji).
3. Przeskanuj system narzędziem antywirusowym / EDR.
4. Zgłoś incydent działowi IT lub zespołowi SOC.
5. Zlokalizuj i zablokuj dokument oraz jego źródło (e-mail, link, plik).

📌 Najlepsze praktyki

Polecane wpisy

Konsekwencje odwiedzenia zainfekowanej strony: Utrata danych, kradzież tożsamości, przejęcie kontroli nad komputerem

Konsekwencje odwiedzenia zainfekowanej strony: Utrata danych, kradzież tożsamości, przejęcie kontroli nad komputerem 🌐 Wstęp W dobie powszechnego korzystania z internetu, Czytaj dalej

Checklista Bezpieczeństwa IPv6 dla Twojej Infrastruktury

✅ Checklista Bezpieczeństwa IPv6 dla Twojej Infrastruktury 🧠 1. Świadomość i aktywacja protokołu Czy IPv6 jest włączony świadomie na hostach Czytaj dalej