Macros de documentos leídas sin abrir el documento

Las macros de Office están escritas en VBA, dentro de módulos del documento. La mayoría solo corren cuando el usuario las llama, pero algunos nombres de procedimiento tienen un significado especial para la aplicación y se ejecutan solos en un momento fijo: AutoOpen y Document_Open en Word, Auto_Open y Workbook_Open en Excel. Son los eventos de apertura.

Por eso, al leer un informe de macros, lo primero es buscar la lista de procedimientos que se ejecutan solos: ahí empieza todo lo que el documento hace sin que nadie se lo pida. Que exista uno no es malicioso en sí, porque muchas hojas legítimas con macros lo usan para preparar su contenido; lo que importa es qué hace.

El extractor del equipo ya sacó los módulos con código y los ordenó. En el informe hay una sección con las palabras que activan ejecución automática y, en el texto de cada módulo, el procedimiento completo. Cruzar las dos fuentes evita confiar en una sola: el informe dice cuál es, el texto muestra qué hace.

Abre el informe del caso SIB-IR-0218 y localiza el procedimiento que arranca solo.

Environ("TEMP") lee la variable de entorno que apunta a la carpeta temporal del usuario. Combinada con un nombre de archivo, forma una ruta donde el procedimiento puede escribir. Lo que se anota es el nombre, porque es un indicador que se busca después en el disco de otros equipos; la carpeta temporal es la misma en todos.

En VBA, el signo & une textos, igual que + en otros lenguajes. Al leer, se une a mano lo que el programa une al correr.

Cuando un archivo se descarga de internet o llega como adjunto, Windows le añade una marca de origen, conocida como Mark of the Web: un pequeño dato que dice de qué zona vino. Desde 2022, Office bloquea por defecto las macros de los archivos con esa marca de zona internet y muestra un aviso de riesgo, sin el botón de habilitar contenido. Es una defensa que el equipo puede reforzar con directivas, y también puede perderse si el archivo se guarda en un formato o lugar que no conserva la marca.

Al analizar, la marca de origen es evidencia: dice de dónde vino el archivo y si Office lo trataría con desconfianza.

La marca de origen puede traer también dos datos de dirección: la página desde la que se descargó y la dirección del archivo mismo. Son útiles para investigar: dicen qué sitio lo entregó, y ese nombre se busca en el proxy y en el correo para saber quién más lo descargó.

Anota el nombre del servidor desde el que se bajó la hoja, tal como aparece en la marca.