VBA Stomping

O VBA Stomping é uma técnica de evasão usada por criminosos cibernéticos para ocultar códigos maliciosos em documentos do Microsoft Office, especificamente em macros VBA (Visual Basic for Applications). Essa técnica permite que os invasores evitem a detecção por soluções de segurança alterando as partes dos arquivos de macro que os programas antivírus e outras ferramentas de segurança normalmente verificam.

Definição

O VBA Stomping refere-se à manipulação do fluxo de execução de um arquivo de macro VBA para que o código malicioso não seja detectado. Basicamente, os invasores inserem códigos maliciosos em partes do arquivo que não são analisadas rotineiramente pelas ferramentas de segurança ou os mascaram de forma que pareçam inofensivos. Essa técnica aproveita a estrutura e o funcionamento da linguagem VBA e dos arquivos que a contêm.

Breve histórico e origem da técnica

O uso de macros VBA como vetor de ataque não é novo; remonta à década de 1990, com o surgimento de vírus de macro, como o famoso "Melissa", em 1999. À medida que as defesas contra essas ameaças evoluíram, os atacantes desenvolveram métodos mais sofisticados para evitar a detecção.
O conceito surgiu como uma evolução natural na guerra de inteligência entre atacantes e defensores. Enquanto as soluções de segurança começaram a se aprimorar na detecção de macros mal-intencionadas, os invasores criaram maneiras de modificar os metadados e a estrutura interna dos arquivos de macro. Dessa forma, eles conseguiram manter o código malicioso oculto durante as revisões de segurança padrão. Embora o termo "VBA Stomping" seja relativamente recente, a técnica em si vem sendo desenvolvida e refinada há vários anos, impulsionada pela necessidade dos atacantes de ficar um passo à frente das defesas de segurança.

Operação

Ele se baseia na manipulação da estrutura interna dos arquivos de macro. Os documentos do Microsoft Office que contêm macros têm dois componentes principais:

 • O código de macro (VBA): esse é o script que define as ações automatizadas. Ele é armazenado em um formato de texto claro dentro do documento.

 • Metadados do projeto VBA: são dados adicionais que descrevem o projeto VBA, incluindo referências a bibliotecas, propriedades do projeto e assinaturas digitais.

O processo geralmente segue estas etapas:

 • Criação de documento malicioso: o invasor cria um documento do Office com uma macro maliciosa.

 • Modificação de documento: usando ferramentas especializadas, o invasor modifica os metadados do projeto VBA. Essa modificação pode incluir a alteração de referências ou a ofuscação de determinadas partes do código.

 • Inserção de código mal-intencionado: o código mal-intencionado é inserido em seções do arquivo de macro que não são verificadas rotineiramente por soluções de segurança ou é mascarado de forma a parecer inofensivo.

 • Distribuição do documento: o documento malicioso é distribuído às vítimas por meio de e-mails de phishing, sites comprometidos ou outros vetores de ataque.

 • O resultado é que, quando o documento é aberto, o código malicioso é executado sem ser detectado pelas soluções de segurança tradicionais que analisam o conteúdo de macros e metadados.

Comparação com outras técnicas de prevenção semelhantes

O VBA Stomping se distingue de outras técnicas de prevenção por seu foco na manipulação da estrutura interna dos arquivos de macro. Veja a seguir uma comparação com algumas técnicas semelhantes:

Ofuscação de código VBA

Técnica: envolve a modificação do código VBA para torná-lo menos legível e mais difícil de analisar.
Comparação: enquanto a ofuscação se concentra em dificultar a compreensão do código, o VBA Stomping manipula os metadados e a estrutura do arquivo para ocultar o código mal-intencionado.

Ataque DDE (Dynamic Data Exchange)

Técnica: usa a funcionalidade DDE do Microsoft Office para executar comandos sem a necessidade de macros.
Comparação: o DDE explora um recurso diferente do Office e não envolve a modificação de macros ou metadados do VBA. O VBA Stomping, por outro lado, é específico para macros VBA.

Embalagem Macro

Técnica: incorporar código malicioso em macros compactadas ou empacotadas.
Comparação: embora semelhantes no sentido de que ambos os métodos buscam ocultar códigos mal-intencionados, o empacotamento se concentra na compactação e na inserção de códigos, enquanto o VBA Stomping se concentra na manipulação estrutural.

Arquivos poliglotas

Técnica: cria arquivos que podem ser interpretados de várias maneiras por diferentes programas, permitindo que o conteúdo malicioso não seja detectado.
Comparação: Os arquivos polimórficos se concentram na multifuncionalidade do arquivo, enquanto o VBA Stomping é específico para macros e sua estrutura nos documentos do Office.

Evolução da técnica ao longo do tempo

A técnica evoluiu significativamente desde seu surgimento, adaptando-se e tornando-se mais sofisticada para evitar os crescentes recursos de detecção dos sistemas de segurança. Inicialmente, esses ataques baseavam-se na exploração de macros mal-intencionadas incorporadas em documentos do Microsoft Office, que eram distribuídas por meio de e-mails de phishing. Com o tempo, os atacantes começaram a refinar essa técnica para evitar a detecção por antivírus e outras soluções de segurança.

Estágios iniciais: Em seus estágios iniciais, consistia em modificar diretamente o código VBA das macros para inserir cargas maliciosas. Os sistemas de detecção eram relativamente ineficazes, permitindo que os invasores obtivessem um alto grau de sucesso.

Aprimoramentos na ofuscação: à medida que os mecanismos de detecção começaram a melhorar, os atacantes introduziram técnicas avançadas de ofuscação. Essas técnicas incluíam a criptografia da carga útil maliciosa e o uso de métodos complexos para ocultar instruções maliciosas dentro de um código VBA aparentemente legítimo.

Automação e ferramentas: A criação de ferramentas automatizadas para gerar macros maliciosas e executar o VBA Stomping permitiu que atacantes menos experientes utilizassem essa técnica. Isso resultou em um aumento no número de ataques e em uma maior diversificação dos métodos utilizados.

Evasão da análise dinâmica: os atacantes também começaram a desenvolver técnicas para evitar a análise dinâmica, como a introdução de verificações de ambiente e a execução de código malicioso somente sob determinadas condições. Isso tornou a detecção baseada em comportamento mais difícil de ser implementada.

Possíveis desenvolvimentos e aprimoramentos da técnica

A constante evolução dos recursos de detecção e resposta em segurança cibernética leva os atacantes a inovar continuamente. No futuro, poderemos ver vários aprimoramentos e desenvolvimentos na técnica VBA Stomping:

 • Ofuscação avançada: espera-se que as técnicas de ofuscação se tornem ainda mais sofisticadas, usando algoritmos mais complexos e variações dinâmicas de código para evitar a detecção por mecanismos antivírus baseados em assinaturas.

 • Uso de inteligência artificial: os atacantes poderiam empregar inteligência artificial e aprendizado de máquina para criar macros que se adaptam dinamicamente às defesas específicas de uma rede, ajustando seu comportamento para maximizar a evasão.

 • Integração com técnicas polimórficas: A integração do VBA Stomping com técnicas polimórficas permitirá que cada instância do ataque seja única, dificultando a identificação e o bloqueio dessas ameaças pelos sistemas de detecção baseados em padrões.

 • Ataques em vários estágios: desenvolvimentos futuros podem incluir a combinação do VBA Stomping com outros vetores de ataque em campanhas de vários estágios. Por exemplo, uma macro mal-intencionada poderia ser apenas a primeira fase de um ataque mais complexo que inclui explorações adicionais e movimentos laterais dentro da rede visada.

Conclusão

Em resumo, o VBA Stomping representa uma técnica avançada de evasão que explora os recursos da linguagem Visual Basic for Applications (VBA) para ocultar códigos maliciosos e evitar soluções de segurança.
O impacto dessa técnica é significativo, com ameaças que podem afetar vários setores e empresas. A detecção e a atenuação dessa técnica são desafios críticos que exigem métodos especializados e um sólido entendimento das práticas recomendadas de segurança cibernética. É essencial que as organizações implementem soluções de segurança adequadas e promovam uma cultura de conscientização sobre as ameaças emergentes.

A evolução do VBA Stomping mostra que as técnicas de evasão continuam a avançar, ressaltando a necessidade de acompanhar as últimas tendências e desenvolvimentos em segurança cibernética. Olhando para o futuro, é provável que vejamos novas variantes e aprimoramentos dessa técnica, o que torna imperativo que os profissionais de segurança continuem a inovar e se adaptar.

Por fim, a conscientização e o treinamento contínuo em segurança cibernética são essenciais para a proteção contra ameaças como o VBA Stomping. Todas as organizações precisam tomar medidas proativas para fortalecer suas defesas e estar mais bem preparadas para enfrentar esses desafios, a fim de mitigar efetivamente os riscos associados a essas técnicas avançadas de evasão.