Office 2016 komt met oplossing na stijgend aantal aanvallen via macro’s

De macro’s in Microsoft Words kunnen een handige tool zijn voor malware-aanvallen. Zo worden mailbijlagen vermomd als invoice of ander belangrijk document, waarna een nietsvermoedende gebruiker ze opent en de macro’s de installatie van malware in gang zetten.  Dat was vooral jaren geleden in trek, tot Microsoft de macro-functie in Office standaard uitschakelde om een stokje te steken voor zulke macro-aanvallen. Sinds kort lijkt de methode echter een comeback te maken.

Omdat de malware niet geïnstalleerd kan worden met een uitgeschakelde macro-functie, hebben cybercriminelen een omweg ontwikkeld. Ze laten de gebruiker de functie activeren. Bij het openen van een kwaadaardig document verschijnt daarom een venster dat beweert dat de inhoud van het document wegens veiligheidsredenen niet kan worden weergegeven tot de gebruiker macro’s inschakelt. Deze techniek is bijzonder populair: volgens Microsofts data zijn 98 procent van de cyberaanvallen op Office gebaseerd op macro’s.

Om die bedreigingen te omzeilen stelt Microsoft een nieuwe oplossing voor: een instelling in Office 2016 die niet zomaar alle macro’s uitschakelt, wat bijzonder nadelig is voor sectoren waar macro’s noodzakelijk zijn, maar selectief macro’s deactiveert. Zo worden enkel macro’s in documenten die afkomstig zijn van het internet of van een e-mailadres buiten de eigen organisatie, geblokkeerd. In bestanden die intern worden gedeeld en niet gedownload zijn, is de macro-functie wel gewoon actief.

Als de oplossing wordt geactiveerd, zullen gebruikers die een extern bestand proberen te openen een waarschuwing zien dat de inhoud geblokkeerd wordt. Ze kunnen de blokkering niet zelf omzeilen, waardoor eventuele malware geen kans krijgt. De nieuwe instelling kan gevonden worden in het Office-beheercentrum en kan apart ingesteld worden voor elke Office-toepassing. In een blogpost laat Microsoft nog wel weten dat als je bedrijf niet steunt op het gebruik van macro’s, het aangeraden blijft om de functie volledig te deactiveren.