Makro-Malware ist Schadsoftware, die als Makro in Office-Dokumenten vorliegt, etwa als Makrovirus, und Makrosprachen wie VBA (Visual Basic for Applications) missbraucht, um schädliche Funktionen auszuführen oder weitere Schadsoftware zu verbreiten.
Auf einen Blick
Nutzt Makrosprachen wie VBA in Office-Dokumenten für Schadfunktionen
Die Infektion erfordert normalerweise das Ausführen der Makros durch den Anwender
Kann weitere Schadsoftware nachladen, etwa über einen Downloader
Was ist Makro-Malware?
Makro-Malware macht sich zunutze, dass ein Makro als Folge von Befehlen eine Software bestimmte Aktionen automatisiert ausführen lässt. Die eigentliche Infektion erfolgt normalerweise nicht schon beim Öffnen des Dokuments, sondern erfordert das Ausführen der Makros durch den Anwender. Nach der Erstinstallation von Microsoft Office ist die Ausführung von Makros deaktiviert und muss manuell aktiviert werden. Ein Makrovirus ist ein Computervirus, der nicht als eigenständiger Code, sondern als Makro in einem Dokument vorliegt.
Präparierte Dokumente werden etwa per Phishing-E-Mail zugestellt und fordern den Empfänger auf, Makros zu aktivieren; der Angreifer bringt den Empfänger dazu, den Anhang zu öffnen. Laut BSI läuft Gefahr, sein System zu infizieren, wer auf einen solchen Anhang klickt und zum Beispiel Makros aktiviert. Aktiviert ein Mitarbeiter eines Versicherers Makros in einem präparierten Office-Dokument, kann Makro-Malware schädliche Funktionen ausführen, sich in andere Dokumente einnisten oder einen Downloader für weitere Schadsoftware starten. Die Wirkung reicht je nach Makro vom Verändern von Texten in Word-Dateien über das Löschen von Dateien bis zum Nachladen weiterer Schadsoftware.
Wie funktioniert Makro-Malware?
Ein bösartiges Makro führt nach dem Aktivieren etwa einen base64-kodierten PowerShell-Code aus, der eine Datei in %UserProfile% oder %Temp% herunterlädt. Die Emotet-Autoren nutzten die Makro-Befehle, um Schadsoftware aus dem Internet nachzuladen und zu installieren. Ein Makrovirus ist so programmiert, dass er sich selbst in andere Dokumente einnistet und schädliche Funktionen aufruft, beispielsweise indem er Texte in Word-Dateien verändert oder beliebige Dateien auf der Festplatte löscht.
Beim Makrovirus Concept speicherte WinWord beim Beenden den globalen Makrobereich in der Standarddokumentenvorlage (in der Regel Normal.dot), wodurch sich Concept das Überleben bis zum nächsten Programmstart sicherte. Die Standardvorlage wird bei jedem Programmstart automatisch geladen, sodass ein dort eingenistetes Virus automatisch mit aktiv wird. Virus:WM/Concept.A galt als erster weithin bekannter Word-Makrovirus für Word 6; er breitete sich aus, indem er Dokumente und Vorlagen infizierte, darunter die Normal-Vorlage. In betroffenen Office-Versionen unter Windows werden VBA-Makros in Dateien mit Mark of the Web standardmäßig blockiert; vertrauenswürdige Speicherorte, Publisher und Richtlinien können die Behandlung beeinflussen. Das Entfernen des Herkunftsvermerks kann Makros wieder zulassen, sofern weder eine Richtlinie noch eine Trust-Center-Einstellung die Ausführung weiter blockiert. Die Sperre setzt einen Herkunftsvermerk der Datei voraus; ein Haken bei „Zulassen“ in den Dateieigenschaften entfernt ihn und damit die Makro-Sperre.
Makro-Malware im Vergleich
| Kriterium | Makro-Malware | Virus |
|---|---|---|
| Einordnung | Schadsoftware, die Makros in Office-Dokumenten missbraucht, um schädliche Funktionen auszuführen oder weitere Schadsoftware zu verbreiten | Ein Makrovirus ist ein Computervirus, der sich selbst in andere Dokumente einnistet. |
| Form des Codes | Der Schadcode liegt als Makro in einem Dokument vor | Ein Computervirus kann als eigenständiger, kompilierter Code vorliegen; ein Makrovirus liegt stattdessen als Makro vor |
| Befallene Dateien | Office-Dokumente wie Word- oder Excel-Dateien | Ein Computervirus kann ausführbare Dateien oder Bootsektoren befallen; der Makrovirus Concept infizierte stattdessen Word-Dokumente |
Woran erkenne ich Makro-Malware?
| Signal | Woran erkennbar |
|---|---|
| Dokument aus einer E-Mail fordert zum Aktivieren von Makros auf | Eine Datei aus einer Mail, die das Aktivieren von Makros einfordert, kann auf einen Trojaner hindeuten. |
| Angebliche Rechnung oder Mahnung als Office-Anhang | Fingierte Mahnungen oder Rechnungen mit infizierten Office-Dateien im Anhang gelten als bekannte Masche. |
| PowerShell-Aufruf nach dem Aktivieren eines Makros | Ein Makro kann einen base64-kodierten PowerShell-Code ausführen, der eine Datei in %UserProfile% oder %Temp% herunterlädt. |
Schutz im Ernstfall
Vorbeugen
- Makros aus dem Internet standardmäßig blockieren.
- Die Makro-Sicherheitsfunktion in Word und Excel aktiviert lassen und Makros in Dokumenten aus E-Mail-Anhängen und aus dem Internet nicht aktivieren.
- Unerwartete Anhänge und Links auch bei bekannten Absendern nicht öffnen.
Was tun im Ernstfall
- Das betroffene Gerät vom Netzwerk trennen.
- Den Vorfall der IT-Sicherheit melden; bei Zweifeln an einer E-Mail, die zum Öffnen eines Word- oder Excel-Dokuments auffordert, den Inhalt an die IT weiterleiten.
- Alle auf dem Gerät verwendeten Zugangsdaten sofort von einem nicht betroffenen Gerät aus ändern; das Gerät durch die IT-Sicherheit analysieren und neu aufsetzen lassen.
Beispiele aus der Praxis
- Concept wurde 1995 als erste Makro-Malware im freien Umlauf („in the wild“) entdeckt.
- W97M/Melissa befiel Word-97- und Word-2000-Dokumente und nutzte Outlook, um sich per E-Mail an weitere Anwender zu verschicken; es kam zu vereinzelten Ausfällen von Mailservern.
- Emotet nutzte Office-Dokumente, etwa angebliche Rechnungen im .doc-Format von Microsoft Word; die enthaltenen Befehle luden Schadsoftware aus dem Internet nach.
- Öffnet ein Mitarbeiter eines Versicherers ein präpariertes Office-Dokument und aktiviert Makros, kann Makro-Malware schädliche Funktionen ausführen oder einen Downloader starten.
Die Varianten im Detail (8)
Bösartiges Makro Bösartiges Makro ist ein Makro in einem Office-Dokument, das schädliche Befehle ausführt.
Das Makro startet meist erst, wenn die Makrofunktion aktiviert wird, und lädt dann Schadsoftware nach oder verändert Dateien. Als Köder dienen häufig präparierte Dokumente, die per E-Mail verschickt werden.
Excel-Makro-Virus Excel-Makro-Virus ist ein Makrovirus, das in Makros von Excel-Arbeitsmappen eingebettet ist.
Er wird ausgeführt, sobald eine infizierte Arbeitsmappe geöffnet und die Makroausführung zugelassen wird. Anschließend kann er weitere Arbeitsmappen oder Vorlagen befallen und so seine Verbreitung sichern.
Makro-Blockierung Makro-Blockierung bezeichnet die Sperre der Makroausführung in Office-Dokumenten aus unsicheren Quellen.
Es handelt sich um eine Schutzeinstellung, nicht um eine Malware-Art: Sie verhindert, dass Makros aus Dokumenten, die aus dem Internet oder per E-Mail stammen, automatisch laufen, und schränkt damit den Angriffsweg ein.
Office-Makro-Malware Office-Makro-Malware ist Makro-Malware, die sich in Dokumenten von Office-Anwendungen befindet.
Die Bezeichnung grenzt die Makroschädlinge auf Textverarbeitung, Tabellenkalkulation und Präsentation ein. Makros in anderen Umgebungen fallen damit nicht darunter, sodass der Begriff enger gefasst ist als Makro-Malware.
Umgehung der Makrosicherheit Umgehung der Makrosicherheit bezeichnet Techniken, mit denen Makroschutzfunktionen von Office umgangen werden.
Angreifer überlisten dabei Warnhinweise oder Sperren, etwa indem Anwender zum Aktivieren der Inhalte verleitet werden oder Dokumente so gestaltet sind, dass die Sperre nicht greift. So gelangt der Makrocode trotz Schutzmaßnahme zur Ausführung.
VBA-Makro-Virus VBA-Makro-Virus ist ein Makrovirus, der in der Makrosprache VBA programmiert ist.
Er nutzt die Programmierschnittstelle der Office-Anwendungen, um Dokumente zu verändern, sich in Vorlagen einzutragen und weitere Dateien zu befallen. VBA bietet ihm dafür weitreichenden Zugriff auf Dokument und System.
Word-Makro-Virus Word-Makro-Virus ist ein Makrovirus, der in Makros von Word-Dokumenten oder -Vorlagen steckt.
Besonders wirksam ist die Infektion der globalen Dokumentvorlage, weil dann jedes neu angelegte Dokument den Virus weiterträgt. Die Ausführung setzt voraus, dass das Makro beim Öffnen zugelassen wird.
XLM-Makro-Malware XLM-Makro-Malware ist Schadsoftware, die auf dem älteren XLM-Makroformat von Excel beruht.
Die Makros stehen als Formeln in Tabellenblättern, nicht als VBA-Code, und werden dadurch von manchen Prüfverfahren schlechter erkannt. Auch dieser Typ wird erst ausgeführt, wenn Anwender die Inhalte aktivieren.
