Word宏病毒排查与清理：VBA自动触发机制解析

1. 一封催款单引出的老问题宏病毒究竟藏在文档的哪一层前几年有个做财务的朋友找我说收到一封对账单邮件附件是个 .doc打开时 Word 顶部弹了一条黄条写着宏已被禁用他顺手点了启用内容。几分钟后他自己的邮箱开始往通讯录里的人发同一封邮件附件也是这个对账单。听起来像电影桥段但这套流程在今天的办公环境里依然跑得通因为它的载体不是邮件系统而是 Word 文档本身携带的一段可执行逻辑。宏病毒这个词听起来像上个时代的产物很多人以为它随着老版 Office 一起退场了。实际不是。只要 Office 还保留 VBA 这套内嵌脚本环境只要文档还能承载宏这条路就一直是通的。变化的只是外衣——从当年的 .doc 换成了 .docm从裸奔的脚本换成了带点混淆、带点社工话术的诱导。这篇内容想讲清楚三件事宏病毒在文档结构里到底存在哪个位置它是怎么从一个文件变成一台机器被感染的以及在不依赖任何特定厂商工具的前提下怎么排查、怎么清理、怎么在日常里把风险压下去。适合两类人看——一类是经常收发 Office 文档、被弹窗困扰的普通办公用户另一类是负责给团队定规矩、需要写清文档交换流程的运维或IT支持。1.1 宏不是插件它是文档体内的一段程序很多人对宏的理解停留在按钮后面绑的一段自动化操作。这个理解不算错但少了一层。宏的运行环境是 VBAVisual Basic for Applications它是一套完整的、带循环、条件判断、文件读写、系统调用能力的脚本语言。它不是在 Word 外面挂的一个工具而是被塞进文档文件内部、由 Word 在打开文档的过程中加载并执行的。这就带来一个关键差异普通附件要生效你得手动运行它而带宏的文档理论上只要你打开它就可能触发执行。触发时机由宏本身的名字决定常见的有文档打开、文档关闭、新建文档、文档保存这些节点。也就是说风险不需要你双击某个按钮才开始它被设计成打开即启动。我见过不少人认为我没点任何按钮应该没事。这是最典型的误判。文档打开时执行的入口是 Office 对象模型里预留的不需要用户任何交互。你看到的启用内容那条黄条其实是 Word 在最后一道门上拦了一下——它是唯一的刹车。1.2 文档格式决定了它能不能带宏这一点经常被忽略但非常实用。不是所有 Word 文件都能装宏扩展名是否可携带宏说明.docx否新版默认格式基于 XML 打包宏会被剥离或拒绝执行.docm是明确允许宏的格式是近些年宏文档的主要外衣.dotm是模板格式允许宏常用于制作全局模板.doc是老式二进制格式宏支持最完整也最难静态分析.rtf否富文本格式不带宏但可能嵌套其他对象我给人处理这类问题时第一步永远是看扩展名。.docx 里一般不会藏有效宏但如果对方把 .docm 改成 .docx 发过来Word 打开时会提示格式不符或者干脆拒绝执行宏——这个提示本身就是信号。反过来如果一个本该是 .docx 的普通文档实际后缀是 .docm这就是个很刺眼的小细节值得停下来。顺带说一个真实场景。很多企业邮箱会做附件后缀白名单允许 .docx、.xlsx但 .docm、.xlsm 会被拦。于是攻击方会尝试改后缀绕过。这种后缀和内容不一致的文件光看名字是看不出来的得靠文件头判断。这就引到下一节的结构视角。1.3 宏病毒和正常宏的分界线在哪我不太喜欢一刀切地说宏都是坏的。Office 里的宏本来是正经的生产力工具批量排版、自动生成报表、统一格式全靠在它。真正的分界线不在于有没有宏而在于三个特征是否自动触发。正常宏通常绑定在按钮或快捷键上不会在文档打开时自己跑起来。是否具备自我复制能力。宏病毒会尝试把自己写进全局模板或者启动目录让后续新建的每一个文档都带上它。是否对外发起传播动作。通过邮件客户端接口群发、往共享目录里写文件、读取通讯录这些是典型的扩散行为。这三点里自动触发是最容易在本地层面观察到的。你打开一个文件如果需要点过启用内容才能看正文而且这个过程反复出现那这个文件就值得单独拎出来看一眼它的宏代码。不用看得很深看它头几行是不是往文档打开事件里塞了逻辑基本就能定性。2. 拆开一个带宏的文档从文件结构看懂它的传播链路要从根上理解这个事最好的办法不是背结论而是亲手拆一个文件。带宏的 Office 文档本质上是一个容器理解了容器的分层后面讲检测、清理、剥离都会顺很多。2.1 把 docm 当成一个压缩包来看新版的 .docm、.dotm 本质上是一个 ZIP 压缩包只是被 Office 用固定结构组织起来。你把它复制一份把后缀改成 .zip用普通解压工具展开会看到一堆目录和 XMLword/ document.xml styles.xml vbaProject.bin - 宏代码实体 _rels/ [Content_Types].xml重点是vbaProject.bin这个文件。它是一段二进制存储里面装着 VBA 工程——模块、窗体、类模块都在里头。这个文件的大小有时候是个有意思的信号一个只做简单格式处理的宏通常很小几十KB如果它膨胀到几百KB甚至更大里面可能有大量混淆字符串或者嵌入的资源。而老式的 .doc 走的是另一套路线它是 OLE 复合文档宏存储在独立的存储流里。用同一种解压方式打不开通常需要用专门看 OLE 结构的工具或者直接在 Word 的宏编辑器里看。这也是为什么老式 .doc 的检测难度更高——你没法用看压缩包这么朴素的办法窥探它。提示把一个可疑的 .docm 改名成 .zip 之前先复制一份不要动原件。有些宏会在文档关闭时执行清理动作动原件可能触发意外行为。2.2 AutoOpen 与 ThisDocument 这些自动入口VBA 工程里有一个和文档绑定最紧的地方叫 ThisDocument 模块。这个模块代表当前这个文档对象里面定义了一系列和文档生命周期绑定的过程。名字都是标准化的Document_Open文档打开时执行对应老版本里那个经典的 AutoOpenDocument_Close文档关闭时执行Document_New基于模板新建文档时执行AutoExecWord 启动时执行AutoClose退出时执行设计这些东西的初衷是好的。比如你有个模板希望每次打开时自动填入今天的日期写在Document_Open里就很自然。问题在于攻击方用的是同一套机制。他们只要把传播逻辑塞进Document_Open后续所有行为都不需要用户点任何按钮。更麻烦的是全局模板这条路。Word 有一个默认的全局模板叫Normal.dotm放在用户配置目录里。它会被加载到每一个新建的文档里。如果恶意代码把自己写进Normal.dotm那么从这一刻起你在这台机器上打开的任何文档都会带着它——哪怕那个文档本身干干净净。这就是感染这个词在这类事件里的真实含义。2.3 从本机落地到扩散出去的完整链路把上面几块拼起来一个典型链条大致是这样走的用户打开一个带宏的 .doc 或 .docm点了启用内容。Document_Open被触发执行 VBA 代码。代码先做环境判断看当前机器是不是已经被感染过避免重复操作。把自己写入Normal.dotm或用户启动目录STARTUP文件夹实现持久化。读取本地邮件客户端的会话信息取通讯录地址。把自身作为附件用当前用户的身份批量发出。关闭时清理一些痕迹比如恢复某些设置项。这个链条里最值得关注的是第 3 步和第 4 步。第 3 步的环境判断意味着它是可重复运行的第 4 步的持久化意味着你删掉那个附件并不能解决问题。我见过太多人删了邮件附件就以为处理完了结果第二天打开自己新建的文档黄条又出现了——因为感染源已经不在附件里了在本机的全局模板里。理解这条链路之后排查思路就清楚了先确定入口文件再检查持久化位置最后才是清理和验证。顺序反了会反复返工。3. 启用内容那个按钮为什么总是那么顺手就被点下去技术层面讲清楚之后真正决定成败的其实是人的动作。绝大多数感染不是因为防护缺失是因为那一下点击。所以这一节我想聊信任中心的设置到底在管什么以及默认配置为什么是现在这个样子。3.1 信任中心的四个档位分别意味着什么在 Word 里依次进入文件 - 选项 - 信任中心 - 信任中心设置 - 宏设置会看到四个选项。这四个档位的含义差别很大很多人从来没认真读过档位行为适用场景禁用所有宏并且不通知完全不执行连提示都没有基本不接触宏的终端推荐禁用所有宏并发出通知不执行但顶部显示黄条提示偶尔需要处理带宏文档的人禁用无数字签署的所有宏有可信签名的宏放行其余禁止有明确内部宏发布流程的组织启用所有宏一律放行不建议在任何环境使用我个人的习惯是把终端机器统一放在第二档。理由很实在完全静默的第一档确实更干净但当同事发来一个内部工具模板需要确认时你连它带宏这件事都感知不到反而不好沟通。第二档留了个提示至少让操作者知道这个文件有东西决策点暴露出来了。第四档是最应该被彻底淘汰的。有些教程为了图省事教人打开这个开关就不弹窗了。这不是解决问题这是把门拆了。3.2 数字签名与受信任位置的实际价值第三档设计得很聪明它把判断权从用户点不点转移到了签名是谁。一个有有效数字签名的宏说明发布者身份可追溯出问题能追责。企业在内部发布统一模板时走签名发布是一条正路管理员在一个受控环境里签名终端只信任这个来源其他一律拒绝。但签名这套东西落地时有几个现实障碍。一是证书管理有成本小团队很难维护二是签名只证明是谁发的不证明这段代码是安全的如果签名者的私钥泄露杀伤力更大三是不少内部工具是临时做出来应急的根本走不完签名流程。受信任位置是另一条路子它把哪些文件夹里的文档可以带宏运行白名单化。比如你把D:\TrustedTemplates\加进去这个目录里的文件带宏也不拦。实际用起来这个功能要非常克制地开因为一旦有别的程序能往这个目录写文件等于给它开了后门。我一般只把它用在有严格权限控制的服务器共享路径上绝不用在用户自己的下载目录或者桌面。3.3 企业环境里更靠谱的做法单机设置靠人一台台点规模一上来就不现实。组织层面有几个更稳的抓手通过组策略统一下发宏设置锁定在禁用并通知这一档终端用户改不动。用文件类型规则在网络边界拦掉 .docm、.dotm、.xlsm 这类可执行宏的附件确需传输的走内部共享或者带审批的通道。对内部宏工具做统一发布流程签名之后集中分发。定期巡检全局模板目录和启动目录看有没有非预期的文件冒出来。这几条里最后一条的执行成本最低效果也最直接。因为不管你前面拦得多严只要有一条漏网并且完成了持久化后面就得靠巡检才能发现。巡检不是一个技术活写个脚本列出启动目录里的所有文件人工看一眼有没有陌生的名字五分钟的事。注意不要依赖杀毒软件已经报了作为唯一防线。宏的形态变化很快特征库有滞后尤其是内部流通的定制宏。行为层面的防护和人的判断要一起上。4. 已经中招了怎么办排查顺序与清理动作假设最坏的情况发生了黄条点了代码跑了。这时候最忌讳的是慌手慌脚地乱删文件。我处理过几次类似情况总结下来有一套还算顺的顺序分享出来。4.1 先别急着删先确认感染范围第一件事是断掉扩散路径而不是急着清理本机。如果这台机器之外可能已经发出了邮件那清理本机的优先级低于通知收件人。实际中最麻烦的不是技术清理是别人收到你名义发出的可疑邮件之后点开。紧接着做的是范围判断主要看三件事感染是只影响这一个文档还是已经污染了全局模板。启动目录里有没有多出陌生的模板文件。同一台机器上的 Excel 有没有类似情况宏可以跨应用XLSTART目录也是重灾区。判断方法很直接。打开 Word 的宏编辑器Alt F11看工程资源管理器里有几个 VBA 工程。正常情况下你打开一个文件只有这一个文件的工程如果你看到多出来一个名字奇怪、或者名字就叫Normal的工程里塞着你没写过的模块基本可以确认全局模板被污染了。这一步不需要懂代码看结构就行。同时看一眼这两个目录%APPDATA%\Microsoft\Word\STARTUP %APPDATA%\Microsoft\Excel\XLSTART这两个是用户级的启动目录里面的模板会被自动加载。任何一个里面出现你不认识的文件都要拎出来单独确认。系统级的启动目录一般在 Office 安装目录下的STARTUP文件夹里那个位置普通用户改不了相对安全一些。4.2 Normal.dotm 和启动目录是重灾区确认污染之后清理动作本身其实不复杂关闭 Word 和 Excel确保没有残留进程。把Normal.dotm重命名加个.bak后缀而不是直接删除。Word 下次启动会自动重建一个干净的。清空STARTUP和XLSTART目录里所有你确认不了来源的文件。检查PERSONAL.XLSB这个文件它是 Excel 的个人宏工作簿也会被自动加载。用杀毒引擎对整盘做一次全量扫描作为补充手段。重命名而不是删除这个细节值得说一下。保留.bak有两个好处一是万一清理出问题还能回溯看一下原来那段代码长什么样二是有些企业环境的模板里带了业务定制的样式直接删了之后同事会问为什么格式全变了。保留一个备份出问题能还原。清完之后还要检查一下 Word 的信任中心里受信任位置有没有被偷偷加进去条目。有些恶意代码会顺手给自己加一个受信任位置方便下次绕过限制。这个位置改动的优先级很高别漏。4.3 清完之后必须做的三件验证清理完不等于结束。我吃过一次教训清完当天觉得好了第二天同事说又出现了。原因是有一个共享盘里的模板没清那台机器每次打开会重新感染。所以清完必须做验证本地验证新建一个空白文档随便打几个字另存为再打开。看有没有任何异常提示或者多余弹窗。同时重新打开宏编辑器确认没有陌生的工程。横向验证如果这台机器经常访问共享盘或者同步目录去那里搜一遍所有.dot、.dotm、.docm文件逐个确认来源。时间验证间隔一天再开一次机重做一遍上面的检查。持久化的东西有时候不是立即复活的而是等某个触发条件。这三步做下来能覆盖掉绝大多数复发情况。听起来有点啰嗦但比反复返工省事得多。5. 比装杀软更靠得住的日常习惯技术手段都有窗口期真正稳住局面的往往是流程和习惯。这一节聊几个我觉得性价比最高的做法。5.1 打开陌生文档的固定流程我给身边人定的规矩很简单就一条任何来源不是自己主动索取的 Office 文件打开前先做三个动作。第一看后缀。.docm、.dotm、.xlsm 这类默认带宏能力的格式优先级自动降一档。第二看文件大小和创建时间如果是个40KB的扫描件却号称是二十页的报告逻辑上就说不过去。第三先不要双击右键看属性或者用文本方式打开预览一下开头看它是不是伪装成文档的压缩包。这三步加起来大概二十秒。听起来很笨但它拦住的正是那些手快点了启用的场景。技术上再强的防护也架不住人的动作比防护快。还有一点如果同一个发件人连续发来内容高度相似但换了个附件名的邮件这本身就值得留意。这种模式在真实案例里很常见因为通讯录是成批取的发出来的内容模板都是一样的只是收件人不同。5.2 用剥壳的方式读文档如果确实要读一个可疑文档的内容有个不触碰宏的办法把文档里的宏层剥掉只看正文。思路有两个方向。一个方向是用另存为的方式洗一遍。在禁用宏的状态下打开文档用文件 - 另存为把它存成 .docx 或者纯文本新生成的文件里就不带 vbaProject 了。这个办法的好处是不需要额外工具。前提是打开时没有点启用内容只要点了什么下班操作都白搭。另一个方向是用格式转换工具链。把文档先转成中间格式再转回来宏层在这个过程中会被丢掉。比如用命令行工具做批量转换把一整批文件转成 HTML 或者纯文本再从转换结果里取需要的内容。这种方式特别适合处理成批的来路不明文档——你不需要判断哪个有宏转换这一步就把它们统一处理了。5.3 文档交换与备份的约定最后一件事是流程层面的。我见过太多团队在这上面翻车有人做了个带宏的自动报表工具通过邮件发给全组谁收到谁双击。只要这个文件被中间某个环节篡改一点全组一起中。更稳的方式是把内部工具和文档内容分开管理。工具统一放在内部共享位置通过组策略或者受信任位置去信任它而不是靠邮件分发。文档内容走普通格式传输需要自动化的时候在本地用工具处理而不是让每个文档自己带逻辑。备份这块也有个细节。宏感染最容易波及的是模板和启动目录而这两块恰好是很多人不做备份的地方——大家备份的都是自己的文档正文模板文件因为系统会自己生成就被忽略了。但一旦模板被污染你所有文档的默认样式、页眉页脚、编号都会跟着变。定期把Normal.dotm和自定义模板单独复制一份留档真出事的时候能省很多时间。6. 那些被反复问到的问题从 WPS 到 VBA 支持库写到这里还想单独聊几个实际操作里被问得最多的问题。它们本身不是宏病毒但和宏为什么能运行这件事高度相关绕不开。6.1 为什么有的电脑提示无法运行文档中的宏这个提示很常见但原因往往不是宏有问题而是环境不支持。几种典型情况一是根本没有安装 VBA 运行环境。部分精简安装的 Office 组件、或者某些定制版办公软件默认不带 VBA 支持宏引擎不存在自然跑不起来。这种情况下你打开带宏文档会看到未安装 VBA 支持库这类提示。二是宏被策略禁用了。前面说的信任中心第二档或者组策略强制下发的设置会让所有宏都不执行并且提示宏已被禁用。三是文件本身的问题比如宏工程损坏、引用了不存在的库。这个通常是发文件的人自己的工程依赖没处理好。这里有个反向提醒如果一台电脑平时打不开带宏文档突然某天能打开了这不是环境修好了的喜讯而是设置被改动了。尤其是那种某人帮你调了一下就好了的场景值得多问一句改了什么。6.2 WPS 里找不到宏入口是怎么回事这类办公套件对宏的支持策略和 Office 不完全一样。有的版本默认不开放宏功能需要在设置或者附加组件里显式启用甚至需要单独安装宏运行环境的插件才能用 VBA。所以在菜单里找不到宏这一项是很正常的现象不一定是装错了。这也带来一个副作用同一份带宏文档在 A 软件里跑不起来在 B 软件里能跑。很多同事因此产生困惑以为在那边能打开说明文件没问题。这个推理不成立。能不能跑起来取决于运行环境和文档本身是否携带恶意逻辑是两回事。判断安全性的标准应该始终基于文档结构和来源而不是我这边能不能打开。6.3 我踩过的几个坑最后分享三个我实际操作里真金白银换来的教训。第一个坑是以为改后缀就安全了。把 .docm 改成 .docx 发给别人看起来是降级了实际上如果对方用的是老版本软件或者文件关联被改过依然可能按原格式解析。更麻烦的是接收方看到 .docx 就会放松警惕直接双击。改后缀这件事除非你同时确保内容层真的剥离了宏否则只是把风险换了个马甲。第二个坑是清理时只清一台机器。有次处理一个通过共享盘传播的情况我清完当事人机器就走了。结果第二周又回来了源头是共享盘上一个没人注意的旧模板谁打开谁被写一遍。从那次之后我处理这类事一定顺手把共享位置扫一遍。第三个坑是把杀软没报当成没问题。有次一个内部工具被改过加了点额外的网络请求逻辑特征库当时没覆盖。是在例行看模板目录时发现的——那个文件的时间戳和我记忆里的对不上。这提醒我时间戳、文件大小这类最朴素的元信息在排查里其实非常有用值得养成随手看一眼的习惯。日常里我自己的做法是把几个关键目录列进一个清单隔一段时间扫一眼。不需要什么高级工具一个能列出文件名、大小、修改时间的命令就够了。多数时候都是正常的但真出问题的那一次这几秒钟能帮你把排查范围一下子缩小到某个具体文件上。