微軟決定預設封鎖Office中的VBA巨集！其他人則抱怨變更VBA巨集會導致數位簽章失效

微軟仍決定預設封鎖Office中的VBA巨集

上周微軟撤除預設封鎖Office 365的VBA巨集的決定，這個變更只是暫時的，微軟仍然會使其成為預設。

按微軟的規畫，原本6月就將在Office中部署預設封鎖VBA巨集，同時也已著手準備。但突然宣布從目前通道（Current Channel）撤回這項作業。微軟當時說過些時日會再將新的更新釋出到目前通道。

正當一些用戶感到鬆一口氣，時隔兩天微軟又在7月8日更新中提供澄清，說明公司是在接獲用戶回饋意見後，暫時撤回這項變更，主要是為了做些調整，改進可使用性。微軟強調，這變更只是暫時性的，他們「全心致力於」讓它成為所有用戶的預設。

微軟並未說明要做什麼調整。微軟原本的規畫是在檔案屬性中，加入關於巨集的勾選欄位。預設封鎖下，要使用巨集的使用者必須主動取消勾選，微軟可能是要讓受信賴的文件更容易啟用巨集。

稍早在測試通道部署時，用戶抱怨預設封鎖讓文件使用變得很麻煩。若Office文件帶有巨集，Office應用程式會直接顯示有安全風險的橫幅警告而不給開啟，而非提供可啟用巨集的溫和安全警告。

用戶抱怨取消勾選的地方很難找。根據現有設計，這要循以下路徑完成：「控制臺」＞「網際網路選項」＞「變更安全設定」。這還未考慮到一些IT管理員要管理數十或數百臺電腦的情形。其他人則抱怨變更VBA巨集會導致數位簽章失效，必須重新簽發。

微軟還是沒說明明確的正式部署時程。在此之前，微軟提醒，用戶仍然可以透過「群組政策」設定來封鎖巨集。

微軟解決Microsoft/Office 365 App不預期關閉及Excel凍結的問題

解決多個Office App存取雲端檔案時意外關閉，以及Excel 365在切換某些工作表時發生凍結的問題。

第一項問題造成Microsoft 365 App目前通道（Current Channel）用戶Office 365 的Word、Excel、PowerPoint開啟、儲存、上傳、下載雲端文件時意外關閉。而且這些App關閉時還不會顯示任何錯誤訊息。

這個問題影響目前通道（Current Channel）的Office 365 App Version 2205，微軟已釋出Version 2206（Build 16.0.15330.20230）解決。用戶可循「檔案」>「帳號」>「更新選擇」>「現在更新」。

每月企業通道及半年企業通道Microsoft 365其實不受影響，但微軟仍計畫在7 月的每月更新Version 2205版本加入修補程式。

則是在Excel 365 App用戶使用包含PivotTable的工作表企圖切換工作表時，App效能下降或停止回應。PivotTable是在資料中使用篩選器（filter）的表格。該問題影響每月企業通道（Monthly Enterprise Channel，MEC）Version 2203版，以及半年企業通道（Semi-Annual Enterprise Channel）Version 2108及Version 2202預覽版。

針對Excel 365的問題修補程式，已經包含在目前通道（Current Channel）及每月企業通道的Version 2204（Build 15128.20280）版本釋出。而對半年企業通道Microsoft 365，微軟預計透過7月每月更新釋出修補程式（應該是Version 2205）。

單機版用戶就要留心了，因為微軟說明，Office 2019及2021版不會獲得修補程式。

Excel 365用戶碰到問題卻沒有列在前述修補名單，微軟建議可以透過移除工作表中的篩選器來避免這個問題。

微軟關閉Office巨集，駭客轉向以ISO、LNK等檔案作為感染途徑

微軟關閉Office XL4及VBA巨集後，駭客也調整了攻擊手法。安全廠商發現，釣魚詐騙駭客已減少使用包含巨集的文件，而改使用ISO、RAR、LNK等類型檔案感染用戶。

微軟分別在 和宣布關閉XL4及VBA 巨集（後者延至7月正式實施），去年10月到今年6月惡意電子郵件包含的檔案類型，以了解攻擊者的行為變化。

分析顯示，這段期間內，附件包含VBA和XL4巨集的郵件攻擊銳減66%。但使用ISO、RAR等容器檔及LNK附件的郵件攻擊，增加了將近175%。

微軟阻擋VBA巨集是根據郵件附檔的Mark of the Web（MOTW）屬性，但是使用容器檔案格式，像是ISO、RAR、ZIP等，以及圖檔（.IMG）檔案，則可以繞過MOTW的偵測。ISO、RAR及ZIP檔本身有MOTW，但內含的惡意巨集檔案（如試算表）沒有，因而仍可在用戶解壓縮後，啟動巨集引發程式執行。此外，容器檔案內也可以加入LNK、DLL或EXE檔，直接在用戶電腦安裝惡意程式。

根據Proofpoint的分析，從去年10月以來該公司觀測到的15波郵件攻擊中，使用ISO檔案的情形佔了2/3，增加150%，其中在韓國散布的Bumblebee惡意軟體，攻擊者是在釣魚郵件中附加ISO文件，當中包含LNK及DLL檔，以發票或其他請求誘使用戶開啟。

LNK附檔相關的攻擊特別值得注意， 從今年2月開始，至少有10個攻擊組織使用包含LNK檔的郵件，此類攻擊從去年10月以來成長了1,675%。Proofpoint也追蹤到多起使用LNK檔手法的網路犯罪（如金錢詐騙）及國家駭客（APT）攻擊。

雖然整體趨勢上XL4巨集的使用是減少的，但仍在今年3月增加。研究人員懷疑是代號TA542的駭客散布Emotet，不過4月後，駭客改用XLL （Excel Add In）檔及壓縮LNK檔為附件來散布這隻惡意程式。

Proofpoint也觀察到附檔使用改造過的HTML檔（又稱為「HTML 走私」手法）散布惡意程式的情形，在今年上半有些許增加的情形。

覺得VBA沒什麼用

哪泥～VBA沒什麼用？駭客非常需要VBA！沒有VBA很難做壞事！