A Microsoft anunciou que começará a desativar todos os controles ActiveX nas versões para Windows do Microsoft 365 e aplicativos do Office 2024 ainda este mês.
Introduzido quase três décadas atrás, em 1996, o ActiveX é um framework de software legado que permite aos desenvolvedores criar objetos interativos embutidos em documentos do Office.
Após essa mudança ser implementada, o ActiveX será completamente bloqueado e sem notificação em programas como Word, Excel, PowerPoint e Visio para reduzir o risco de malware ou execução de código não autorizado.
Quando abrir documentos com controles ActiveX, uma notificação aparecerá no topo com um botão "Saiba Mais" dizendo: "CONTEÚDO BLOQUEADO: O conteúdo ActiveX neste arquivo está bloqueado."
A Microsoft também alertou os usuários do Office em um documento de suporte separado para não abrirem anexos de arquivos inesperados ou mudarem as configurações do ActiveX quando solicitados por pop-ups aleatórios e pessoas desconhecidas.
"Quando o ActiveX for desativado, você não poderá mais criar ou interagir com objetos ActiveX em arquivos do Microsoft 365.
Alguns objetos ActiveX existentes ainda serão visíveis como uma imagem estática, mas não será possível interagir com eles", disse Zaeem Patel, gerente de produto da equipe de Segurança do Office.
A Microsoft diz que aqueles que quiserem habilitar os controles ActiveX podem fazê-lo por meio do Trust Center seguindo os passos abaixo (mas é importante notar que isso habilitará o ActiveX em todos os aplicativos do Office, incluindo Word, PowerPoint, Excel e Visio):
Selecione Arquivo, depois Opções.
Selecione Centro de Confiança, depois o botão Configurações do Centro de Confiança.
Selecione Configurações do ActiveX e certifique-se de que "Me avise antes de habilitar todos os controles com restrições mínimas" esteja ativado.
Selecione OK, então OK novamente para salvar suas configurações e retornar ao seu documento.
"Para uma segurança ótima, a Microsoft encoraja fortemente a deixar os controles ActiveX desativados, a menos que absolutamente necessário", alertou a Microsoft.
A decisão de desativá-lo por padrão foi provavelmente motivada pelos conhecidos problemas de segurança do ActiveX, incluindo vulnerabilidades zero-day que foram exploradas por diversos grupos de ameaças apoiados por estados e motivados financeiramente para implantar malware.
Criminosos cibernéticos também usaram controles ActiveX embutidos em documentos do Word para instalar malware TrickBot e beacons Cobalt Strike para violar e manter acesso a redes empresariais.
Esse movimento também é um esforço muito mais amplo para remover ou desligar recursos do Windows e do Office que os invasores abusaram para infectar clientes da Microsoft com malware.
Isso remonta a 2018, quando a Microsoft expandiu o suporte para sua Interface de Verificação Antimalware (AMSI) para aplicativos cliente do Office 365 para combater ataques usando macros do Office VBA.
Desde então, a empresa de Redmond também começou a bloquear macros do Office VBA por padrão, introduziu proteção contra macros XLM, desativou macros Excel 4.0 (XLM) e começou a bloquear complementos XLL não confiáveis por padrão em todos os locatários do Microsoft 365.
A Microsoft também anunciou em maio de 2024 que acabaria com o VBScript, tornando-o um recurso sob demanda até que seja completamente removido.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...