Documentos de Office y macros

Los archivos de Office con extensión terminada en x o m (docx, xlsx, xlsm, pptx…) siguen un estándar abierto, Office Open XML, y son archivos ZIP con carpetas y piezas XML dentro. Por eso se pueden listar sin Office. La m del final marca que el formato admite macros; los formatos sin ella no están diseñados para guardar un proyecto de macros VBA.

Esto da una regla de lectura: si un archivo con extensión sin «m» contiene un proyecto de macros, el nombre y el contenido no cuentan la misma historia. No prueba por sí solo una intención dañina, pero justifica prioridad y una segunda mirada.

Abre contenedor.txt. Es el listado del ZIP, igual que lo mostraría un descompresor sin extraer nada. Las piezas con nombres estándar (workbook.xml, hojas, propiedades) las tiene casi cualquier libro. Lo que importa es la pieza que no debería estar en un libro común: el archivo binario donde Office guarda el proyecto de macros. En un documento sin macros esa pieza no existe.

Su sola presencia ya cambia la clasificación del adjunto: de «documento» a «documento con código».

Una macro por sí sola no hace nada hasta que algo la dispara. Los procedimientos de ejecución automática son los que Office lanza solos al abrir o cerrar el documento; por eso las herramientas de análisis los marcan con una categoría propia, AutoExec. Las categorías Suspicious e IOC marcan, respectivamente, palabras que la herramienta asocia con acciones delicadas y valores que sirven como indicadores.

Lee olevba.txt: la herramienta no ejecuta la macro, solo lee su texto y marca palabras. Busca la fila de la categoría de ejecución automática.

La categoría IOC de la herramienta recoge valores que pueden convertirse en indicadores de compromiso: direcciones web, nombres de archivo, direcciones IP. Extraerlos es lo que conecta este adjunto con el resto de la red: con el dominio se busca en el registro de proxy y de DNS quién más lo consultó. Pero un valor extraído del texto de una macro no prueba que ese destino exista ni que responda: es lo que el archivo cita, no lo que hizo.

Cuando Windows guarda en un disco NTFS un archivo que viene de internet, añade un flujo con la marca de la web (Zone.Identifier) donde anota la zona de origen: el valor 3 corresponde a internet. Según la documentación de Microsoft, Office bloquea por defecto las macros de los archivos con esa marca, y la persona solo puede levantar el bloqueo quitando la marca desde las propiedades del archivo. La marca no existe en discos FAT32 ni si el archivo llega por una vía que no la escribe.

La consecuencia para quien lee un caso es doble: la marca es una barrera útil y, a la vez, no es una garantía. Mira marca-de-la-web.txt.