📖 目录导读
- 宏病毒的前世今生：为什么它仍是网络攻击的“常青树”？
- WPS 宏安全机制揭秘：从被动防御到主动拦截
- 真实案例还原：一个恶意脚本是如何被 WPS“锁喉”的
- 企业用户必读问答：宏安全设置的“黄金法则”
- 对比微软 Office：WPS 在宏防护上有哪些“独门绝技”？
- 未来趋势：AI 驱动的宏威胁检测将如何改变游戏规则
宏病毒的前世今生：为什么它仍是网络攻击的“常青树”？
1995 年，世界上第一个宏病毒“Concept”诞生，通过 Word 文档传播，开启了“文档即武器”的时代，30 年后的今天，宏攻击非但没有消亡，反而呈现出“返祖”趋势——2023 年，全球超过 34% 的勒索软件攻击仍通过带宏的 Office 文档发起（数据来源：Verizon 数据泄露调查报告）。
为什么黑客对宏情有独钟？因为可信，人类天生对文档缺乏警惕性，一封“工资条.xlsm”或“会议纪要.docm”的邮件，点击率高达 67%，远高于 .exe 文件的 12%（来源：KnowBe4 安全报告），攻击者只需在 VBA 代码中嵌入 PowerShell 下载器,就能在受害者毫无察觉时下载并执行勒索软件。
▲ 典型攻击链条：恶意邮件→带宏文档→用户启用宏→脚本调用 cmd.exe→下载后门程序→横向渗透→数据加密。
WPS 宏安全机制揭秘：从被动防御到主动拦截
WPS Office 的宏安全体系经历了三代演进，核心在于 “用户决策权与自动防护的平衡术”。
四层过滤网机制
- 第一层：文件类型识别——自动标记来自互联网的文档（Web 标志）,与其他文件区别处理。
- 第二层：数字签名校验——只有受信任的发布者签名才允许“自动启用”。
- 第三层：动态行为分析——实时监控 VBA 代码是否调用敏感 API（如 CreateObject、Shell、HTTP 请求）。
- 第四层：云端查杀——提取宏特征码与 WPS 云端威胁库比对，响应时间 < 0.3 秒。
“三档位”安全级别
WPS 在“开发工具→宏安全性”中提供了如下设置（建议所有企业用户采用第二档）：
| 安全级别 | 行为 | 适用场景 |
|---|---|---|
| 低 | 不提示，直接启用所有宏 | 仅用于完全可信的内部 VBA 工具 |
| 中（推荐） | 每次打开含宏文档时弹出警告，由用户决定 | 日常工作与未知文档 |
| 高 | 禁止所有未经签名的宏 | 涉密单位、财务系统 |
2024 年新增的“脚本沙盒”功能
对于“中”级别下用户误点“启用宏”的情况，WPS 新增了 VBA 沙盒执行模式，即使宏被允许运行，敏感操作（如磁盘写入、网络连接）也会被“拦截并弹窗确认”，同时自动在后台创建逆向行为日志，这一设计有效降低了“误启用”带来的风险扩散。
真实案例还原：一个恶意脚本是如何被 WPS“锁喉”的
场景假设：某财务人员收到一封名为“2024 年度退税申报表.xlsm”的邮件。
步骤 1：诱饵层
文档内嵌“点击启用内容以查看表格”的按钮，而真正的表格内容被 VBA 代码隐藏，当用户单击按钮→宏被触发→系统弹出 WPS 警告：“此文档包含可能威胁计算机安全的宏，建议您在不启用宏的情况下查看内容。”
步骤 2：攻击代码
VBA 代码包含以下危险操作：
Set objShell = CreateObject("WScript.Shell")
objShell.Run "powershell -window hidden -enc SQBmACgA..."
（这个 Base64 编码的命令将下载勒索病毒 payload）
步骤 3：WPS 的“三重拦截”
- 数字签名校验失败——弹窗显示“发布者未知，建议禁用宏”。
- 实时行为分析触发——当 VBA 尝试创建 Shell 对象时，WPS 后台记录行为分数达到阈值，主动弹出二级警告：“宏正在尝试执行系统命令，已阻止。”
- 云端库命中——该脚本的 MD5 哈希值在 WPS 云端黑名单中，WPS 自动将文档移入“隔离区”并提示用户删除。
结局：即使财务人员连续两次错误点击“允许”，第三次的云端拦截仍能卡住攻击路径，对比未安装 WPS 防病毒模块的 Office 环境，攻击成功概率从 82% 降至 6%。
企业用户必读问答：宏安全设置的“黄金法则”
Q1：我是否应该完全禁用宏？（比如设置为“高”级别）
不一定。 如果贵司使用 WPS 开发了内部审计表、数据导入工具等 VBA 应用，完全禁用将导致业务瘫痪，合理的做法是：
✅ 启用“中”级别，配合 WPS 办公安全中心进行白名单管理。
✅ 对内部宏使用数字签名证书（可通过 WPS 官方 CA 申请免费的 3 年证书）。
Q2：WPS 会误杀我自己的合法宏吗？
新一代 WPS 通过 “信任中心→受信任位置” 机制解决这一问题，将公司文件服务器路径加入“受信任位置”后，该路径下的文档宏将自动允许,且绕过安全扫描。
Q3：WPS 对已加密的压缩包内的宏文档能检测吗？
能。 WPS 的安全引擎支持深度解压，即使文件被 ZIP 或 RAR 加密（密码已知），也能在解压前扫描内部文件的宏特征，2024 年 8 月更新的版本甚至支持 “盲检”——不依赖密码,通过文件头特征判断是否含宏。
Q4：如果我的文档已经启用了恶意宏，如何回滚？
WPS 会建议开启 自动恢复 + 宏行为日志，在“文件→选项→保存自动恢复信息时间间隔”设为 5 分钟，一旦发现异常，可以通过“文件→信息→宏警告日志”查看所有被拦截的脚本动作，并利用 WPS 的“时间轴回滚”功能恢复文档至宏启用前的状态。
对比微软 Office：WPS 在宏防护上有哪些“独门绝技”？
| 功能维度 | 微软 Office (365) | WPS Office (2024) |
|---|---|---|
| 默认宏设置 | 默认禁用所有宏 | 默认“中”级别，更平衡 |
| 云端威胁库 | 依赖 Microsoft Defender | 自研云端库 + 公有云联动，更新频率 30 分钟 |
| 沙盒执行 | 仅企业版 E5 提供 | 个人版/企业版均具备 |
| 隔离提示 | 仅报毒，不提供行为详情 | 展示具体危险操作代码片段（如 Powershell URL） |
| 国产化适配 | 无 | 信创环境优化，适配 UOS/麒麟系统 |
特别优势：WPS 的“宏行为回放”功能——即使宏已被禁用，仍能粘贴出 VBA 代码的“行为摘要”，帮助安全人员快速定位攻击意图，这一功能在微软 Office 中需要额外安装高级威胁分析（ATP）模块。
未来趋势：AI 驱动的宏威胁检测将如何改变游戏规则？
传统宏防护依赖静态特征码，但黑客已大量使用 “动态代码混淆”（如每次下载的 VBA 内容不同），WPS 安全实验室正在测试以下 AI 能力：
- 图神经网络（GNN）检测：将宏代码解析为代码调用图（CFG），识别与已知恶意模板的相似度，即使代码完全重写,只要行为拓扑一致即可拦截。
- 自然语言处理（NLP）诱饵识别：自动判断宏提示文字（如“请启用宏以获得完整功能”）是否为欺骗性语言。
- 上下文攻击链还原：结合邮件来源、文件名、宏内容，计算“威胁指数”，文档名为“发票”但宏中包含“CreateObject("MSXML2.XMLHTTP")”时，威胁指数自动 +70 分。
小贴士：建议企业用户开启 WPS 的 “AI 安全预览”，在打开含宏文档前，先让 AI 模型进行 30 秒的虚拟运行测试，目前该功能已向 WPS 企业版用户推送，误报率低于 0.5%。
人是最大的漏洞，但工具可以弥补
宏攻击的底层逻辑从未改变：利用人的善意与好奇，WPS 的宏安全拦截不是要取代人类判断，而是给每次“点击启用宏”加上一副防弹眼镜——让你既能看清文档内容，又能看清背后藏着什么，在勒索软件变种层出不穷的今天，这套组合拳（中等安全级别 + 云端库 + 定时备份）至少能挡住 70% 的常见宏攻击。
延伸阅读：WPS 官方提供的《企业宏安全基线配置指南》PDF，建议 IT 管理员在部署后执行宏风险自评。
标签： 恶意脚本
