宏仍然是传播恶意软件和有效载荷最常见的载体。事实上，恶意软件作者正转向利用MS Office和基于脚本的威胁进行攻击。根据Avira Protection Labs发布的《恶意软件威胁报告：2020年第二季度统计数据与趋势》，基于脚本的检测数量（73.55%）和基于Office的宏检测数量（30.43%）均显著增加。(1) 威胁行为者采用多种技术来隐藏恶意宏，例如规避检测的VBA以及将VBA项目锁定以使宏代码“不可见”。OPSWAT Deep Content Disarm and Reconstruction （Deep CDR™技术）能够有效遏制此类威胁。我们在之前的博客文章中详细介绍了Deep CDR™技术的有效性。在本篇博客中，我们将展示Deep CDR™技术如何防范另一种名为“VBA Stomping”的高级恶意软件规避技术。
Vesselin Bontchev 博士在其 VBAp-code 反汇编器介绍中说明了 VBA stomping。问题在于，VBA stomping 破坏了嵌入 Office 文件中的原始 VBA 源代码，并将其编译成 p 代码（堆栈机的伪代码），执行该代码就可以传播恶意软件。在这种情况下，基于 VBA 源代码的恶意软件文档 (maldoc) 检测被绕过，恶意有效载荷被成功发送。以下是 VBA 踩踏的详细示例。
利用 VBA 踩踏技术，原始宏脚本被修改为显示一条简单的信息。这样，反恶意软件程序就无法检测到文件中可疑的活动内容。不过，宏仍可执行（通过 p 代码），并要求执行命令行。
Deep CDR™ 技术可保护您免受文件中隐藏的所有恶意内容侵害。它能清除文档中的宏源代码和字节码。我们的先进威胁防护技术不依赖检测机制，而是将进入网络的所有文件视为可疑对象，通过仅保留合法组件对每个文件进行净化与重建。无论文档中如何隐藏活动内容（如宏、表单字段、超链接等），这些内容都将在文件发送给用户前被彻底清除。 观看下方演示视频，了解深度CDR™技术如何有效应对VBA覆盖攻击场景。
Deep CDR™ 技术确保进入您组织的每个文件均被彻底清除威胁。这有助于防范零日攻击，阻止具有规避能力的恶意软件侵入您的组织。我们的解决方案支持对100多种常见文件类型进行安全处理，包括PDF、Microsoft Office文件、HTML、图像文件，以及诸如JTD和HWP等众多区域性特定格式。
请联系我们，进一步了解OPSWAT的先进技术，保护您的组织免受日益复杂的攻击。
参考资料
(1) "恶意软件威胁报告：2020 年第二季度统计数据和趋势 | Avira 博客"。2020.Avira 博客 。https://www.avira.com/en/blog/....
