Macro malevole di Office 365. Rischi e prevenzione

Macro malevole in Office 365: cosa sono, come agiscono nei documenti infetti e quali misure adottare per proteggere dati e dispositivi.

Microsoft 365, conosciuta anche come Office 365, è una delle suite per la produttività più utilizzate nel mondo aziendale. Include strumenti fondamentali come Word, Excel, Outlook e Teams, impiegati quotidianamente da milioni di utenti.

Tra le funzionalità più versatili offerte da Word ed Excel vi è il supporto alle macro, utilizzate per automatizzare operazioni ripetitive, come la formattazione dei testi o l’elaborazione dei dati. Grazie alla presenza del linguaggio VBA (Visual Basic for Applications), è possibile realizzare script personalizzati per adattare i flussi di lavoro alle esigenze dell’utente.

Tuttavia, questa flessibilità ha attirato l’interesse dei cybercriminali, che da anni sfruttano le macro per veicolare malware all’interno dei documenti Office. Il vettore di distribuzione più comune resta la posta elettronica, tramite campagne di phishing mirate.

In questo articolo, analizzeremo il fuzionamento delle macro malevole, i rischi che comportano e le misure preventive più efficaci per proteggere sistemi e dati aziendali.

1. Origini e diffusione delle macro malevole
2. Le macro malevole oggi: quali sono i rischi
3. Come vengono create e distribuite le macro malevole
4. Proteggersi dalle macro malevole

Origine delle macro malevole

Le macro malevole hanno iniziato a diffondersi nella seconda metà degli anni Novanta, quando i software della suite Office avevano già raggiunto un’ampia diffusione nel panorama aziendale e domestico. All’epoca, l’esecuzione automatica delle macro era attiva di default nei programmi Microsoft, rendendo i documenti Office un vettore ideale per la distribuzione di malware.

L’obiettivo degli attacchi era semplice, ma efficace: eseguire codice all’apertura del file per compromettere il sistema o propagare il malware ad altri utenti. Alcuni di questi macrovirus riuscirono a infettare milioni di dispositivi nel giro di pochi giorni, sfruttando la mancanza di consapevolezza e protezione dell’epoca.

Tra i casi più importanti di quel periodo, si citano:

• Concept (1995). Considerato il primo macrovirus della storia, è stato diffuso mediante file Word infetti. Una volta attivato, apriva una semplice finestra di dialogo con il numero 1 e un pulsante OK. Nonostante fosse tecnicamente innocuo, segnò l’inizio di un’epoca in cui i documenti potevano veicolare codice dannoso.
• Melissa (1999). Creato dal programmatore David L. Smith, Melissa si diffondeva come un file Word allegato a una e-mail. Il documento prometteva una lista di siti per adulti, elemento che spingeva l’utente ad aprirlo. Una volta attivato, il virus si auto-inviava ai primi 50 contatti della rubrica di Outlook. I danni economici stimati superarono gli 80 milioni di dollari, rendendolo uno dei macromalware più devastanti di sempre.

Le macro malevole oggi: quali sono i rischi

Nel corso degli anni, le macro malevole si sono evolute, passando da semplici virus a strumenti sempre più sofisticati e insidiosi. Oggi, i cybercriminali le utilizzano come vettori di attacco per compromettere in profondità sistemi e reti aziendali. Una macro attivata in un documento può rilasciare malware progettati per rubare credenziali, informazioni bancarie e dati sensibili memorizzati nel dispositivo.

In molti casi l’obiettivo è installare payload secondari come trojan o ransomware, oppure ottenere accesso remoto al sistema, consentendo agli attaccanti di controllarlo. Le conseguenze possono includere il rallentamento del sistema, il blocco di funzioni critiche, la disattivazione di antivirus e firewall, o l’installazione di backdoor che garantiscono un accesso persistente nel tempo.

Uno dei casi più famosi di malware diffuso sfruttando le macro è Emotet. Nato nel 2014 come trojan bancario, nel tempo è divenuto una piattaforma modulare per la distribuzione di altri malware. Per anni è stato diffuso prevalentemente tramite documenti Word o Excel con macro attivate, impiegati in campagne di phishing su larga scala. La sua capacità di adattarsi ai contesti e di eludere i sistemi di rilevamento, lo ha reso una delle minacce più persistenti e pericolose dell’ultimo decennio.

Come vengono create e distribuite le macro malevole

I software della suite Microsoft 365 integrano un editor VBA, che permette agli utenti di scrivere, modificare e gesitre macro personalizzate. Il codice viene inserito direttamente nel file in cui la macro è creata e può essere eseguito in qualsiasi momento, per automatizzare attività complesse o ripetitive.

Questa funzionalità, pensata per aumentare la produttività, è stata ampiamente sfruttata dai cybercriminali per scopi malevoli. I documenti contenenti macro infette vengono distribuiti principalmente tramite e-mail di phishing, sfruttando tecniche di social engineering per convincere la vittima ad aprire l’allegato. I messaggi si presentano come comunicazioni urgenti o documenti aziendali credibili, rendendo difficile riconoscerne la natura dannosa.

Le e-mail, tuttavia, non sono l’unico canale di distribuzione.
I documenti malevoli possono essere essere ospitati su siti web fraudolenti, mascherati da software legittimi o documenti da scaricare. In alcuni casi, vengono utilizzati anche dispositivi rimovibili, come chiavette USB o hard disk esterni, appositamente preparati per veicolare i file infetti e avviare l’esecuzione delle macro all’apertura del documento.

Proteggersi dalle macro malevole

Per contrastare l’abuso delle macro malevole, Microsoft ha introdotto importanti modifiche di sicurezza negli applicativi della suite Office 365. A partire dal 2022, la casa di Redmond ha bloccato l’esecuzione automatica delle macro nei documenti scaricati da Internet, modificando il comportamento predefinito di Word ed Excel. Parallelamente, è stato rafforzato l’impiego del protocollo Mark-of-the-Web (MotW), che consente al sistema di identificare i file provenienti dal web. Questi vengono aperti in modalità protetta, impedendo l’avvio di macro non autorizzate, a meno che l’utente non ne confermi esplicitamente l’esecuzione.

Sebbene queste contromisure abbiano ridotto senisbilmente la diffusione di malware tramite macro, la protezione più efficace rimane la prevenzione da parte dell’utente. Pertanto, è fondamentale:

• Utilizzare l’ultima versione di Microsoft 365 disponibile.
  Le versioni obsolete di Office possono presentare delle vulnerabilità che i cyebrcriminali possono sfruttare per distribuire contenuti malevoli nel dispositivo.
• Mantenere disattivata l’esecuzione automatica delle macro.
  Ciò permette di bloccare sul nascere ogni tentativo di infezione tramite macro. Si consiglia di attivare questa opzione solo per i file provenienti da fonti sicure e verificate.
• Adottare soluzioni antimalware affidabili e aggiornate.
  Un buon software antimalware è in grado di rilevare e bloccare eventuali macro sospette. Si raccomanda inoltre, di mantenere questi sistemi costantemente aggiornati con le ultime patch di sicurezza.
• Fare attenzione alle mail provenienti da fonti sconosciute.
  Nella maggior parte dei casi, infatti, si tratta di un tentativo di phishing. In questo caso, si consiglia di utilizzare anche servizi di mail security in grado di scansionare gli allegati presenti nelle mail, bloccando così eventuali messaggi dannosi prima che giungano all’utente.
• Utilizzare ambienti sandbox.
  Queste soluzioni sono molto utili per eseguire file e programmi in un ambiente isolato, in modo da evitare che eventuali contenuti dannosi non compromettano il sistema principale.

Le macro non sono l’unico veicolo di infezione automatica: una tecnica affine è il carpet bombing, che inonda il browser di download non richiesti.