先说人话：宏病毒是什么东西

你打开Word写个报告，系统自动帮你排版、加页码、检查拼写，这些自动化操作背后，是一套叫"宏"的脚本在默默干活。宏本质上就是一系列命令的集合，类似于"把某个操作录下来，下次一键重放"。省事，好用，生产力拉满。

但问题来了，坏人也能写宏。

宏病毒，就是把恶意代码塞进这些自动化脚本里。你打开一个看似正常的Word文档，宏自动运行了，然后你的电脑就成了别人的后花园。它不攻击操作系统（Windows/Mac本身），它攻击的是Office这套软件。所以Windows电脑中招，Mac电脑用Office也一样中招。不过，如果你用的是WPS或者LibreOffice这些非微软的办公软件，一般没事，它们的宏系统跟微软VBA不兼容，病毒跑不动。

打个比方：宏本来是给你配了个贴心的自动档汽车，踩油门就走。宏病毒就是有人在你车里装了个后门开关，你以为是自己在开，其实方向盘早被别人抢了一半。

它怎么搞事情的

宏病毒的核心套路就四个字： 伪装潜伏 。

它把自己打扮成一个正常宏，藏在Word的全局模板里（那个叫 Normal.dot 的东西）。你打开任何文档，模板里的病毒宏也跟着一起启动了。更骚的是，你关掉文档了，病毒还在那悄悄干活，因为它的代码已经"寄生"在模板里了，跟牛皮癣似的。

一旦病毒宏跑起来，它会干这些事：

• 自我复制 ： 感染一个文件后，自动往其他同类文件里塞自己的代码。你保存一个文档，sorry，连同它一起保存进硬盘了。

• 篡改内容： 删你的字、加乱七八糟的图片、把文件改成模板格式，反正就是搞破坏。

• 群fa邮件： 翻你Outlook通讯录，挑前50个联系人，自动帮你发带病毒的附件。收件人看到"老王发来的重要文件"，点开，然后他也中招了。

• 下更多毒： 宏病毒有时候就是个"搬运工"，打开门之后，再下载勒索软件、木马、键盘记录器进来。

怎么传播的

宏病毒的传播路径可以用一句话总结： 你主动打开了一个带毒的文件，然后它就赖着不走了。

常见途径：

• 钓鱼邮件附件 ： 最常见。邮件告诉你"请查收发票""季度报告已出""简历请过目"，附了个.doc或.docm文件。你点开，宏自动运行，game over。

• U盘/共享文件夹 ： 同事递过来一个U盘："帮我看看这个方案"，你一打开，恭喜，中毒了。

• 下载的文档 ： 网上找个模板、简历、合同范本，下载打开就中招。

• 网络共享 ： 公司共享盘里某个文档被感染了，谁打开谁倒霉。

关键点：你不打开那个文件，病毒就没事。它不像蠕虫那样能自己爬网线，必须靠你亲手"开门"。

经典案例：那些年，宏病毒搞过的大新闻

Concept（1995）：一切的开端

1995年，世界上第一个真正大规模传播的宏病毒出现了，Concept。

这玩意儿的来历本身就挺魔幻。据说是微软自己的员工写的，然后微软把它刻在CD光盘里发给了全球客户。CD的标签写的是"Microsoft Compatibility Test"（微软兼容性测试），收件人以为是什么正经补丁，结果打开一看，带毒了。

Concept不干特别坏的事，据说它就干一件事：弹出一个小窗口，上面写着 "That's enough to prove my point" （够证明我的观点了）。说白了就是一个技术演示，"你看，我能做到哦"。

但这个"演示"造成了巨大的麻烦。它是第一个跨平台的宏病毒，感染的是Word软件本身，不是Windows系统，所以Mac用户照样中招。而且Concept把病毒代码写进了Word的全局模板，之后你用"另存为"保存的任何文档，都会被自动感染。

Concept到1997年后慢慢消失了，但它开了个坏头，证明了"原来宏这东西还能用来搞破坏"。

Melissa（1999）：一封邮件干翻半个互联网

如果Concept是实验室里的爆炸，那Melissa就是把炸dan运到了市中心。

1999年3月26日，一个叫大卫·史密斯（David L. Smith）的程序员做了件事：他盗了个AOL账号，用这个账号群fa了一封邮件。主题是"Important Message From [发件人名字]"，正文是"Here is that document you asked for... don't show anyone else ;-)"，附件是一个叫 list.doc 的Word文件。

看起来像朋友发来的私密文件对吧？太贱了。

你打开附件，Melissa立刻干三件事：

读取你的Outlook通讯录前50个联系人；自动给这50个人发同样的带毒邮件；不删除任何文件，但让邮件服务器彻底瘫痪。

第三条才是Melissa真正的杀伤力。它不是删文件，它是把整个邮件系统搞崩。理论上，每轮感染最多能产生50封新邮件，50再变2500，2500再变125000，这叫 指数级扩散 。实际不会每个人都打开附件，但哪怕只有一部分人中招，爆炸式的增长也足以冲垮企业邮件服务器。事实也确实如此：微软自己的邮件服务器、美国海军陆战队、几百家公司的邮件系统，全被垃圾流量干趴下了。

经济损失： 约8000万美元 。

史密斯1999年4月1日被捕（选在愚人节，挺讽刺）。最后判了20个月监禁+5000美元罚款。

Melissa不偷数据，也不加密文件，它纯粹就是个"我怎么让全网瘫痪"的技术验证。但就是这个验证，让全世界第一次意识到： 一封带宏病毒的邮件，能在几小时内瘫痪一个国家的网络 。

Nuclear 和 Hancitor（2014-2018）：宏病毒的卷土重来

大家以为微软禁了默认宏就万事大吉了。结果2014年开始，宏病毒又回来了，而且变本加厉。

• Hancitor（也叫Chanitor） ： 2014年出现，通过钓鱼邮件伪装成Word文档。它自己不怎么破坏，它是个"搬运工"，打开之后，它会从C&C服务器下载银行木马和勒索软件到你的电脑上。等于先帮你把门打开，然后叫几个朋友进来搬东西。

• Nuclear ： 跟Concept很像，但更阴。据说它会在打印文档时偷偷改最后一页的内容，这种注入方式意味着你可能打了十页合同，最后一页被换成了一张奇怪的信息，而你翻完前面九个页面根本没发现。

• MacDownloader ： 比较新的品种，以时事政治话题（如美国大选分析）为诱饵，文件扩展名是 .docm 。打开后它不是自己干活，而是从远程服务器下载一个完整的恶意软件工具包进来。

到了2018年，有安全研究员统计发现： 大约一半的恶意软件加载器都伪装成了Office宏 。 你以为是Word文档，其实是运毒车。

怎么发现电脑中了宏病毒

宏病毒很低调，不像勒索软件那样给你弹个"付钱"的窗口。它可能偷偷摸摸在后台跑了很久，但你注意看的话，有些蛛丝马迹：

• 电脑越来越慢 ： 病毒在后台不停复制自己，CPU和内存被占着。

• 文件莫名其妙被加了密码 ： 你没设密码，但打开文档提示需要密码。这是病毒为了防止你删它，给模板加了锁。

• 文档内容自己变了 ： 少了几个字，多了些奇怪的内容，或者文件变成了"模板"格式。

• 朋友跟你说"你发的邮件有毒" ： 你自己没发过，但病毒替你发了。

• Office菜单选项变样了 ： 多了或者少了某些功能。

• 打开文件弹出奇怪的错误 ： 比如莫名其妙的宏警告。

如果上面中了两条以上，大概率是中招了。

怎么清理

手动清理的方法：

• 以安全模式打开Word ， 按住左Ctrl然后启动程序，选择"是"。

• 点击 查看 → 宏 → 查看宏 。

• 看看有没有不认识的宏名，特别是这些名字： AutoOpen 、 AutoExec 、 FileSaveAs 、 AutoClose 。 正常文档一般不该有这些。

• 选中可疑宏 ， 删除 。

• 去计算机控制面板，找到Microsoft Office，右键 修复 。

当然最省事的办法是， 直接上杀毒软件全盘扫 。现在的杀毒对已知宏病毒样本识别率很高，一键扫描清理比手动折腾靠谱。

怎 么预防

微软从Office 2000开始默认禁用宏了。你打开带宏的文档，顶部会弹一个黄色警告条："宏已被禁用"， 别手贱去点"启用内容" ，除非你确定这个文件来源可靠。

其他几条铁律：

• 别打开陌生人发来的Office附件 ： 发票、合同、简历，钓鱼最爱用的三件套。

• 熟人发的可疑附件也先问一声 ： 对方可能已经中毒了，病毒在替他发邮件。

• 看到带宏的文件后缀要警惕 ： Office 2007之后， .docm 、 .xlsm 、 .pptm 就是带宏的标志（正常是 .docx 、 .xlsx 、 .pptx ）。注意： 老格式 .doc 、 .xls 也能藏宏 ，钓鱼邮件现在很喜欢用老格式绕检测。

• 操作系统和Office保持更新 ： 微软每月的安全补丁不是白发的。

• 装个靠谱的杀毒软件 ： 不是100%防得住，但能拦住绝大部分。

• 设置邮件网关过滤 ： 公司IT的话，垃圾邮件过滤能挡掉一大半带毒附件。

总结

宏病毒的历史是安全行业的一个经典循环：

• 1995年，Concept证明"宏能被利用来攻击"。

• 1999年，Melissa证明"宏病毒可以瘫痪整个互联网"。

• 2000年后，微软默认禁用宏，大家以为这事翻篇了。

• 2014年后，钓鱼邮件+社会工程学+宏病毒三件套卷土重来。

根本原因很简单： 微软可以把宏默认关掉，但它没办法替你的脑子做决定。但凡有人看到"重要文件请启用宏"就随手一点，那病毒就赢了。

说到底， 给人打补丁，比给软件打补丁难多了 。