Un clic su «Abilita contenuto» può sembrare un passaggio necessario per leggere correttamente un documento. In realtà, può autorizzare l’esecuzione di una serie di comandi incorporati nel file. È qui che si capisce perché i software della suite Microsoft Office bloccano automaticamente le macro: un documento arrivato da Internet potrebbe trasformare un’azione ordinaria nel primo passaggio di un’infezione. Il blocco non dichiara che il file sia certamente dannoso, ma tratta la sua provenienza come un fattore di rischio.
Perché i software della suite Microsoft Office bloccano automaticamente le macro
Una macro è una sequenza di comandi usata per automatizzare attività ripetitive. Nelle applicazioni di Office queste automazioni sono spesso scritte in VBA, Visual Basic for Applications, e possono svolgere funzioni legittime all’interno di documenti, fogli di calcolo e database.
La stessa capacità di eseguire comandi, tuttavia, può essere sfruttata per introdurre virus o altro software dannoso. Gli autori di un attacco possono preparare un documento e cercare di convincere il destinatario ad autorizzarne le macro. Il file diventa così un possibile vettore iniziale per malware e ransomware.
Le macro non sono indispensabili per aprire o modificare normalmente un documento. Possono essere necessarie per alcune funzioni automatizzate progettate dall’autore, ma la loro disattivazione non equivale al blocco dell’intero file. Office impedisce l’esecuzione del codice, senza eliminare automaticamente né il documento né la macro che contiene.
La svolta del 2022: dalla scelta dell’utente al blocco preventivo
Microsoft mantiene da tempo diverse configurazioni per la gestione delle macro, compresa quella che le disabilita mostrando una notifica. Nel 2022, però, il comportamento predefinito è cambiato per una categoria precisa: i file identificati come provenienti da Internet.
La distribuzione della modifica è iniziata il 12 aprile 2022. Il perimetro indicato da Microsoft comprende Office sui dispositivi Windows e le applicazioni Access, Excel, PowerPoint, Project, Publisher, Visio e Word. La regola non va quindi estesa automaticamente alle versioni per macOS, alle applicazioni mobili o ai servizi web.
Il cambiamento ha spostato il punto della decisione. Per i file di origine Internet non si presume più che una semplice richiesta di autorizzazione sia una protezione sufficiente: l’esecuzione viene fermata preventivamente, lasciando le eccezioni a file, autori e percorsi considerati attendibili.
Come Office riconosce un file proveniente da Internet
Il controllo si basa sul Mark of the Web, spesso abbreviato in MOTW. È un contrassegno di provenienza che Windows può associare ai file scaricati dal web o ricevuti come allegati e-mail. Quando Office rileva il contrassegno, usa quell’informazione per impedire l’esecuzione delle macro contenute nel documento.
Il MOTW non è un antivirus e non certifica che il file contenga malware. Segnala piuttosto che il documento arriva da un contesto al quale il sistema non assegna fiducia in modo automatico. Per questo un file perfettamente legittimo può essere bloccato, mentre l’assenza del contrassegno non costituisce da sola una garanzia di sicurezza.
Un avviso analogo può comparire anche per file conservati in alcune posizioni di rete. Una condivisione Intranet non riconosciuta come attendibile, per esempio perché raggiunta tramite un indirizzo IP, può essere trattata come una provenienza non fidata. La posizione tecnica del file e le regole configurate dall’organizzazione partecipano quindi alla decisione insieme alla sua origine.
Quale rischio viene ridotto, e quale rimane
Il blocco mira soprattutto a interrompere una sequenza comune: ricezione o download di un documento, apertura del file e autorizzazione del codice incorporato. Fermando le macro prima della loro esecuzione, Office riduce la possibilità che un documento ottenuto da una fonte non verificata diventi il punto di ingresso di malware o ransomware.
La misura non controlla però ogni possibile contenuto malevolo e non sostituisce le altre protezioni del sistema. L’Agenzia per la cybersicurezza nazionale ha analizzato, per esempio, l’impiego di contenitori IMG, ISO, RAR o ZIP. In determinate condizioni il MOTW può rimanere associato al contenitore senza produrre lo stesso controllo sui file interni, come documenta l’analisi dell’Agenzia per la cybersicurezza nazionale sul MOTW. Non si tratta di un aggiramento garantito: l’attacco richiede ancora che la vittima apra il contenuto e, nel caso delle macro, ne consenta l’esecuzione.
Quando un’eccezione può essere giustificata
La comparsa del blocco non significa che ogni macro debba essere rifiutata senza valutazione. Significa che la decisione non dovrebbe dipendere soltanto dal fatto che il documento appare plausibile o che la funzione automatizzata sembra utile. Occorre verificare la provenienza del file, lo scopo della macro e il contesto nel quale viene richiesta.
Office consente alle organizzazioni di gestire le eccezioni attraverso autori attendibili, firme digitali, siti riconosciuti e percorsi attendibili. Nessuno di questi elementi è una prova universale di innocuità. Una firma permette di applicare una regola di fiducia a un autore identificato come attendibile, ma non equivale a una revisione automatica del codice. Allo stesso modo, un percorso di rete è sicuro solo quanto i controlli applicati a quella posizione.
Nel Centro protezione restano disponibili impostazioni differenti:
- disabilitare tutte le macro;
- disabilitarle mostrando una notifica;
- consentire quelle firmate digitalmente da un autore attendibile;
- abilitare tutte le macro.
L’ultima opzione è espressamente sconsigliata perché permette l’esecuzione indiscriminata di codice potenzialmente pericoloso. Anche la possibilità tecnica di autorizzare una singola macro non dimostra che il suo contenuto sia stato verificato. In un ambiente aziendale, le eccezioni dovrebbero seguire i criteri stabiliti dall’amministrazione anziché dipendere da una modifica generale delle protezioni.
Le domande più comuni
Cosa succede se l’antivirus rileva un software dannoso?
Il rilevamento dell’antivirus è distinto dal blocco delle macro. Office può fermare una macro perché il file proviene da Internet anche senza aver individuato malware; l’antivirus, invece, classifica un elemento come dannoso sulla base dei propri sistemi di rilevamento. L’azione concreta può comprendere il blocco o la quarantena e dipende dal prodotto e dalla sua configurazione. In presenza di un rilevamento non è prudente forzare l’apertura o l’esecuzione del file.
Differenza tra software e firmware
Software è il termine generale per programmi e codice eseguiti da un dispositivo. Il firmware è una forma di software incorporata nell’hardware e destinata soprattutto a controllarne le funzioni di base. Office è software applicativo; una macro è codice eseguito all’interno di quell’applicazione. Il firmware non interviene direttamente nella normale gestione delle macro di un documento.
Il blocco automatico va quindi letto per quello che è: una misura preventiva basata sulla provenienza, non una condanna definitiva del file. Aggirarla ha senso soltanto dopo aver verificato il documento, l’autore, la necessità della macro e le regole di sicurezza applicabili.