作者：Trend Labs 趨勢科技全球技術支援與研發中心

有一名客戶提交了一份帶有可疑公式並設成「Very Hidden」的惡意 Microsoft Excel 4.0 巨集工作表，讓趨勢科技研究人員進行進一步的分析。因為一項 Microsoft 網站上有記錄的隱藏工作表功能，所以無法從 Microsoft Excel 使用者介面（UI）存取這工作表。惡意檔案通常會用作垃圾郵件的附件檔。

開啟檔案後會顯示訊息要求使用者點選「Enable Editing」（允許編輯），然後是「Enable Content」（啟用內容）。使用者在點選這些按鈕後也在不自覺下啟用了巨集。研究人員使用 Visual Basic 編輯器來檢查巨集的存在。但是開啟後並沒有發現巨集。

我們使用內部分析 OLE2 檔案的工具來進一步檢查檔案結構。這讓我們發現了一個名為「G5U1D5zEis」 的巨集工作表，此工作表被設為「Very Hidden」。此設定意味著該工作表無法透過 Excel 使用者介面存取，因為它不會出現在工作表列表。除非使用其他工具，否則無法取消隱藏該工作表。

防禦惡意檔案

駭客每隔一段時間就會利用新檔案類型來持續地將惡意程式碼隱藏在看似無害的檔案中。這些檔案通常利用社交工程（social engineering）技術來透過垃圾郵件散播，如用冠狀病毒（COVID-19，俗稱武漢肺炎）爆發這樣的熱門時事來引起收件者注意並誘使他們下載附件檔。有些甚至會冒充知名組織來騙取收件者的信任。