什麼是巨集病毒？風險、預防與偵測

巨集病毒是嵌入文件中的惡意程式碼，會利用巨集功能。本指南將探討巨集病毒如何運作、其風險，以及預防策略。

了解安全文件處理與使用者意識的重要性。理解巨集病毒對於保護系統免受這種持續性威脅至關重要。

為什麼巨集會帶來安全風險？

巨集可能構成安全風險，因為它們可被用來在系統上執行惡意程式碼。以巨集病毒為例，惡意程式碼會嵌入在巨集中，並在開啟受感染的文件或範本時被啟動。這使病毒能夠在使用者不知情或未同意的情況下執行其程式碼，並可能造成各種類型的損害，例如資料毀損或竊取。此外，攻擊者還可利用巨集繞過安全控制，並取得對系統與網路的未經授權存取。這就是為什麼只啟用來自可信來源的巨集，並定期掃描您的系統以偵測惡意軟體 使用可信賴的防毒程式。

巨集病毒有哪些特徵？

巨集病毒的特徵可能會因特定病毒而異，但許多巨集病毒都有一些共同特徵。其中一些特徵包括：

• 它們是以 Visual Basic for Applications (VBA) 巨集語言編寫，例如 Microsoft Office 等生產力應用程式所使用的巨集語言。
• 它們通常透過受感染的文件或範本在使用者之間共享而傳播。
• 當使用者開啟受感染的檔案時，它們可能會被啟動，此時病毒即可執行其惡意程式碼。
• 它們可能造成各種類型的損害，從單純的干擾到更嚴重的後果，例如資料毀損或竊取。
• 它們可能難以偵測，因為它們可以嵌入合法巨集中，而且一旦感染系統後也可能難以移除。

巨集病毒感染有哪些症狀

巨集病毒感染的症狀可能會因特定病毒而異，但有一些常見跡象顯示系統可能已遭感染。其中一些症狀包括：

• 受感染應用程式出現異常或非預期行為，例如當機或凍結。
• 系統中出現異常或非預期的檔案或資料夾。
• 在使用者不知情或未同意的情況下，系統設定或組態遭到變更。
• 系統效能下降，例如回應時間變慢或整體速度降低。
• 外部人員未經授權存取系統或網路。
• 畫面上出現異常或非預期的訊息或警示。

如果您懷疑系統可能感染了巨集病毒，請務必立即使用可信賴的反惡意軟體程式執行完整系統掃描，並聯絡您的 IT 管理員。如果確認感染，請務必遵循防毒程式提供的指示來移除病毒，並將系統還原至正常狀態。

巨集可以自動執行嗎？

是的，巨集在某些情況下可以自動執行。在大多數情況下，巨集必須由使用者啟用後才能執行。然而，某些巨集病毒被設計成在開啟受感染的文件或範本時自動執行，而無需使用者知情或同意。這也是巨集病毒可能如此危險的原因之一，因為它們可以在使用者未察覺的情況下執行其惡意程式碼。為了防範這類威脅，請務必只啟用來自可信來源的巨集，並使用信譽良好的防毒程式定期掃描您的系統是否有惡意軟體。

巨集會感染勒索軟體嗎？

很難判定任何特定的安全性事件是否明確由巨集病毒所造成，因為安全性事件可能有許多潛在原因。巨集病毒可用來傳遞 勒索軟體感染。勒索軟體是一種會加密受害者檔案並要求支付贖金以進行解密的惡意軟體。巨集病毒有時可能會透過將惡意程式碼嵌入文件或範本中的巨集，來傳遞勒索軟體酬載。當使用者開啟受感染的檔案時，巨集病毒就會被啟動，並可執行勒索軟體，進而加密受害者的檔案。接著，受害者會看到贖金要求，通常會以螢幕上的訊息或受感染系統通知區域中的通知形式呈現。需要注意的是，支付贖金並不能保證受害者能夠復原其檔案，而防範勒索軟體感染的最佳方式是實施強大的安全措施，並定期備份重要資料。

Mac 會感染巨集病毒嗎？

是的，Mac 可能會感染巨集病毒。巨集病毒並不限於任何特定的作業系統，且可能感染任何能夠執行該病毒所使用巨集語言的裝置。以 Mac 為例，如果巨集病毒是以可在 Mac 上使用的語言編寫，例如 AppleScript，Mac 就可能會感染該病毒。Mac 使用者務必了解巨集病毒所帶來的潛在威脅，並採取措施保護其裝置，例如僅啟用來自可信來源的巨集，以及使用信譽良好的防毒程式定期掃描惡意軟體。

以下是一些以 Mac 為目標的巨集病毒真實案例：

OSX.BadWord 是一種威脅，會利用 Microsoft Word for Mac 沙箱逃逸並傳遞 Meterpreter 酬載。與 Windows 上類似的 Word 型攻擊一樣，此威脅利用 VBA 巨集執行程式碼並感染使用者。OSX.BadWord 透過寄送給 Quidax 加密貨幣平台員工的電子郵件散布，邀請他們為「BitCoin Magazine UK」撰稿。

在 2018 年，與北韓有關聯的 APT 組織 Lazarus 正積極鎖定加密貨幣交易所。在 3 月，研究人員發現一份武器化的 Word 文件被用作 macOS 後門程式的投放器。該文件以韓文撰寫，是一場鎖定南韓企業與加密貨幣交易公司之攻擊活動中使用的多份文件之一。

在 2019 年，Lazarus APT Targets Mac Users with Poisoned Word Document。

Linux 會感染巨集病毒嗎？

理論上，Linux 可能會感染巨集病毒。巨集病毒不受限於任何特定作業系統，且可能感染任何能夠執行該病毒所使用巨集語言的裝置。雖然 Linux 通常被認為比其他作業系統更安全，且較少成為惡意軟體的攻擊目標，但它並非對所有類型的威脅都具有免疫力，包括巨集病毒。如果巨集病毒是以可在 Linux 上使用的語言編寫，例如 Linux 專用的巨集語言，或像 Java 這類跨平台語言，Linux 系統就可能感染該病毒。為了防範此威脅，Linux 使用者必須採取適當的安全措施，例如僅啟用來自可信來源的巨集，並使用信譽良好的防毒程式定期掃描惡意軟體。

什麼是巨集病毒的範例？

巨集病毒的一個範例是 Melissa 病毒，最早於 1999 年被發現。Melissa 病毒是以 Visual Basic for Applications (VBA) 巨集語言編寫，並透過受感染的 Microsoft Word 文件傳播。當使用者開啟受感染的文件時，病毒會執行其程式碼，其中包括透過向受害者 Outlook 通訊錄中的前 50 位聯絡人傳送受感染的電子郵件來自我複製。Melissa 病毒造成了重大干擾，迅速傳播到數千台電腦，並使電子郵件伺服器超載。它被認為是最早廣泛傳播的電子郵件蠕蟲之一。雖然 Melissa 病毒是巨集病毒的一個例子，但應注意的是，新的巨集病毒仍在不斷被建立，而各個病毒的具體特徵與行為可能有很大差異。

SentinelOne 能偵測巨集病毒嗎？

較近期使用巨集感染的 威脅行為者 與網路犯罪集團範例包括：

1. Locky Ransomware：這類 勒索軟體 會使用巨集惡意軟體加密受害者的檔案，並要求支付贖金以解鎖檔案。
2. Dridex：這個銀行木馬會使用巨集惡意軟體，從受害者系統中竊取敏感的金融資訊。
3. Emotet：這類惡意軟體會使用含有巨集的電子郵件附件來感染受害者系統並竊取敏感資訊。
4. Ursnif：這是一種銀行木馬，會使用巨集惡意軟體從受害者系統中竊取登入憑證和其他敏感資訊。
5. Adwind：這類惡意軟體會使用含有巨集的文件來感染受害者系統並竊取敏感資訊。

以上僅是巨集惡意軟體的幾個範例。還存在許多其他類型的巨集惡意軟體，而且攻擊者也持續在開發新的變種。

Enhance Your Threat Intelligence

See how the SentinelOne threat-hunting service WatchTower can surface greater insights and help you outpace attacks.

Learn More

Office 文件是否可能含有不是巨集病毒的惡意軟體？

是的，Office 文件可能包含不是巨集病毒的惡意軟體。雖然巨集病毒是常見的威脅類型，但並不是唯一可嵌入 Office 文件中的惡意軟體類型。其他類型的惡意軟體，例如木馬、蠕蟲或勒索軟體，也可能隱藏在 Office 文件中，並在使用者開啟檔案時被啟動。在某些情況下，惡意軟體可能不是以巨集語言編寫，而是改用其他方法來執行其程式碼。例如，惡意軟體可能會利用 Office 應用程式本身或作業系統中的弱點，在使用者不知情或未同意的情況下執行其程式碼。使用者務必了解這些類型的威脅，並採取措施保護自己，例如僅開啟來自可信來源的 Office 文件，以及定期使用信譽良好的防毒程式掃描惡意軟體。

在這段影片中，您可以看到設定為僅偵測模式的 SentinelOne agent，如何偵測不使用巨集的 Word 型惡意軟體攻擊。此文件包含兩個內嵌的 OLE 物件；每個物件都包含 JScript，並執行會產生 Powershell 的 cmd 命令來執行惡意軟體。

我該如何防範巨集惡意軟體？

身為一般使用者，若要防範巨集惡意軟體，您可以採取以下幾項措施：

1. 開啟電子郵件附件時請保持謹慎，尤其是來自未知來源的附件。
2. 除非您信任來源並確認巨集是安全的，否則請避免在文件中啟用巨集。
3. 讓您的作業系統和軟體隨時更新至最新的安全性修補程式。
4. 使用信譽良好的防毒或反惡意軟體程式，並保持其為最新狀態。
5. 從網際網路下載檔案時請保持謹慎，且僅從可信任的來源下載。

身為 CISO 或 IT 管理員，您可以採取幾個步驟來協助保護組織免受巨集惡意軟體侵害：

1. 部署可偵測本機巨集病毒的 Anti Malware。有時惡意程式碼會停用網路流量，以便在不被偵測的情況下完成其惡意活動。
2. 教育員工了解巨集惡意軟體的風險，並提醒他們在開啟電子郵件附件及在文件中啟用巨集時保持謹慎。
3. 實作強固的電子郵件安全系統，以偵測並封鎖網路釣魚電子郵件及其他夾帶惡意軟體的訊息。
4. 建立並執行限制在文件中使用巨集的政策，或要求所有巨集在使用前都必須經過審查與核准。
5. 讓所有作業系統和軟體隨時更新至最新的安全性修補程式，並使用信譽良好的防毒與反惡意軟體程式來防範惡意軟體。
6. 定期執行安全稽核與滲透測試，以識別組織防禦中的漏洞與弱點。

結論

Microsoft 不太可能因安全疑慮而取消巨集。巨集是自動化工作與提升生產力的寶貴工具，並且廣泛用於許多不同的應用程式中。雖然巨集確實伴隨某些安全風險，例如可能出現巨集病毒和其他類型的惡意軟體，但只要遵循最佳實務並實施適當的安全措施，這些風險是可以降低的。

SentinelOne 的 Singularity™ Platform 可協助安全專業人員以機器速度主動解決現代威脅。  Singularity 讓自主、AI 驅動的網路安全未來願景成為今日的現實。  若要了解 SentinelOne 如何協助您的 SOC 更有效地管理使用者端點、混合雲工作負載、IoT 等環境中的風險。請在此聯絡我們，讓我們開始一場針對您獨特環境需求的對話。