这个Office文档，打开就运行恶意代码

还记得那个活了近二十年的感染型病毒 Expiro 吗？之前多国警方端掉 Sality 的 C2 时，我们还在问什么时候轮到它——结果它先带着新本领来了：最新变种开始感染 Office 文档。

它的手法很鸡贼：先感染 DOCX 格式的文档，往里面塞好宏代码和 ShellCode，然后把文件后缀改成 DOCM——因为 DOCX 格式本身不允许携带宏，改名就是为了绕过这个限制。

图里就是证据：左边是文档内嵌的宏代码，申请内存、写入数据、创建线程一气呵成；右边是藏在文档结构里的一长串 Base64，解码后就是 ShellCode。一旦受害者打开文档并允许宏运行，宏代码就会把它揪出来执行。

老建议，但请再执行一遍：
1. 陌生人发来的 Office 文档，别急着打开；
2. Office 提示“启用宏”时，默认选择拒绝——看到这条提示本身就该警惕；
3. 拿不准的文档，先交给杀毒软件扫一遍。