诺亚威胁检测中心

Macro

基本概念

如果某个文档中包含了宏病毒,我们称此文档感染了宏病毒;如果WORD系统中的模板包含了宏病毒,我们称WORD系统感染了宏病毒。

来源

虽然OFFICE97/Word97无法扫描软盘、硬盘或网络驱动器上的宏病毒。但当打开一个含有可能携带病毒的宏的文档时,它能够显示宏警告信息。并且在2013年后的杀毒软件已支持宏病毒扫描。

这样就可选择打开文档时是否要包含宏,如果希望文档包含要用到的宏(例如,单位所用的定货窗体),打开文档时就包含宏。 如果您并不希望在文档中包含宏,或者不了解文档的确切来源。例如,文档是作为电子邮件的附件收到的,或是来自网络或不安全的 Internet节点。在这种情况下,为了防止可能发生的病毒传染,打开文档过程中出现宏警告提示时最好选择“取消宏”。 OFFICE97软件包安装后,系统中包含有关于宏病毒防护的选项,其默认状态是允许“宏病毒保护”复选框。如果愿意,您可以终止系统对文档宏病毒的检查。当Word显示宏病毒警告信息时,清除“在打开带有宏或自定义内容的文档时提问”复选框。或者关闭宏检查:单击“工具”菜单中的“选项”命令,再单击“常规”选项卡,然后清除“宏病毒保护”复选框。

不过建议您不要取消宏病毒防护功能,否则您会失去这道防护宏病毒的天然屏障。 上世纪90年代的宏病毒主要感染文件有 word、Excel 的文档。并且会驻留在Normal面板上 据统计,通过Internet传播的不同类型的病毒数量如下: DOS型: 10000至11000种 Windows型:12种 Macintosh型:35种 宏病毒: 200余种 Unix型: 6种 其中10000-11000种DOS型病毒能感染所有DOS、Windows95平台的计算机(但不感染Macintosh计算机);但200余种宏病毒中的大部分能感染所有计算机,包括PC机和Macintosh机。所谓宏,就是一些命令组织在一起,作为一个单独命令完成一个特定任务(如Word中的宏命令)。

判断方法

虽然不是所有包含宏的文档都包含了宏病毒,但当有下列情况之一时,您可以百分之百地断定您的OFFICE文档或OFFICE系统中有宏病毒:

  1. 在打开“宏病毒防护功能”的情况下,当您打开一个您自己写的文档时,系统会弹出相应的警告框。而您清楚您并没有在其中使用宏或并不知道宏到底怎么用,那么您可以完全肯定您的文档已经感染了宏病毒。
  2. 如果软件中关于宏病毒防护选项启用后,不能在下次开机时依然保存。WORD97中提供了对宏病毒的防护功能,它可以在“工具/选项/常规”中进行设定。但有些宏病毒为了对付OFFICE97中提供的宏警告功能,它在感染系统(这通常只有在您关闭了宏病毒防护选项或者出现宏警告后您不留神选取了“启用宏”才有可能)后,会在您每次退出 OFFICE时自动屏蔽掉宏病毒防护选项。因此您一旦发现:您的机器中设置的宏病毒防护功能选项无法在两次启动WORD之间保持有效,则您的系统一定已经感染了宏病毒。也就是说一系列WORD模板、特别是normal.dot 已经被感染。

鉴于绝大多数人都不需要或者不会使用“宏”这个功能,我们可以得出一个相当重要的结论:如果您的OFFICE文档在打开时,系统给出一个宏病毒警告框,那么您应该对这个文档保持高度警惕,它已被感染的几率极大。注意:简单地删除被宏病毒感染的文档并不能清除OFFICE系统中的宏病毒!