Excel-bestandsbeveiliging uitgelegd: XLSX, XLSM en macro-risico’s

Al decennialang is Microsoft Excel het universele motor van bedrijfsprocessen. Het balanceert bedrijfsbudgetten, visualiseert complexe datasets, houdt de voorraad bij en drijft analytische pijplijnen aan in vrijwel elke sector.

Toch maakt diezelfde rekenflexibiliteit spreadsheets tot een blijvende favoriet onder cybertegenstanders. Aanvallers gebruiken spreadsheets al sinds de vroege dagen van macro‑virussen in de late jaren 90. Terwijl Microsoft en systeembeheerders meerdere verdedigingslagen hebben geïntroduceerd — zoals scheiding van bestandsformaten en standaard macro‑blokkering — blijven social engineering en subtiele architecturale risico’s Excel‑gerichte aanvallen relevant houden.

Om een veerkrachtige beveiligingshouding op te bouwen, moeten ontwikkelaars, beheerders en gevorderde gebruikers onder de werkboekinterface kijken. Begrijpen hoe het onderliggende OpenXML-formaat functioneert, hoe .xlsx en .xlsm zich op architecturaal niveau onderscheiden, en hoe de mechanica van macro‑uitvoering werkt, is essentieel voor het verdedigen van moderne eindpunten.

1. Anatomie van moderne Excel‑bestanden: OpenXML ontleed

Voor de release van Microsoft Office 2007 slaat Excel bestanden voornamelijk op met propriëtaire binaire formaten, het meest opvallend het .xls-formaat (gereguleerd door het Binary Interchange File Format, of BIFF8). In .xls-bestanden werden gegevensrecords, opmaakdefinities, formules en Visual Basic for Applications (VBA)-macrostromen verpakt in één gestructureerde opslagcontainer. Dit maakte programmatische inspectie moeilijk en stelde aanvallers in staat kwaadaardige payload‑scripts te verbergen binnen ondoorzichtige binaire sectoren.

Vanaf Excel 2007 introduceerde Microsoft de Office Open XML (OOXML)-standaard (gestandaardiseerd als ECMA-376 en ISO/IEC 29500). Onder OOXML zijn Excel-werkboeken niet langer monolithische binaire blobs. In plaats daarvan zijn het zip‑archieven die een hiërarchische structuur van XML‑documenten, relatietabellen en ingebedde media‑assets bevatten.

Binnen de ZIP-container

Als je een standaard modern Excel-werkboek neemt en de extensie wijzigt naar .zip, kun je de inhoud ervan uitpakken met elke standaard decompressie‑tool:

my_workbook.xlsx (extracted)
│
├── [Content_Types].xml        <-- Registry of MIME types and structural parts
├── _rels/                     <-- Package-level relationship mappings
│   └── .rels
├── docProps/                  <-- Metadata (author, creation date, revision)
│   ├── app.xml
│   └── core.xml
└── xl/                        <-- Core spreadsheet contents
    ├── workbook.xml           <-- Workbook-level parameters and sheet list
    ├── styles.xml             <-- Cell styles, fonts, and borders
    ├── sharedStrings.xml      <-- Unique string index for performance optimization
    ├── _rels/
    │   └── workbook.xml.rels  <-- Sheet and component dependencies
    └── worksheets/
        ├── sheet1.xml         <-- Raw cell values, formulas, and grid geometry
        └── sheet2.xml

Deze structurele wijziging leverde directe beveiligingsvoordelen op:

1. DPI (Deep Packet Inspection) & Gateway Visibility: Beveiligingsapparaten, proxy’s en endpoint‑agents kunnen het archief on‑the‑fly uitpakken en platte XML‑bomen analyseren om verdachte tekenreeksen, externe URL’s of ingebedde objecten te identificeren.
2. Deterministic File Validation: Als een bestand beweert een OpenXML‑document te zijn maar de schemaspecificaties schendt, weigert Excel het te openen of voert het uit in een geïsoleerde herstelmodus.
3. Format Separation: Microsoft heeft reguliere rekenbladen losgekoppeld van bestanden die in staat zijn ingebedde procedurele scripts uit te voeren.

2. XLSX vs. XLSM: De architecturale grens

Het belangrijkste verschil tussen .xlsx en .xlsm is of de bestandsstructuur de opname van uitvoerbare macro‑projecten toestaat.

Het handhavingsmechanisme: Waarom XLSX geen macro’s kan uitvoeren

Een veelgestelde vraag onder junior beheerders en ontwikkelaars is: Wat gebeurt er als een aanvaller een kwaadaardig .xlsm-bestand neemt, uitvoerbare code injecteert en de bestandsextensie hernoemt naar .xlsx?

Kort antwoord: Het bestand zal de macro niet uitvoeren.

Excel vertrouwt niet uitsluitend op de bestandsextensie om uitvoerregels te bepalen. Bij het openen van een bestand met de naam .xlsx:

1. Excel inspecteert de zip‑payload en verwijst naar [Content_Types].xml.
2. In een echt .xlsx‑bestand vertegenwoordigen alle gedefinieerde content‑types standaardgegevens (zoals worksheet, sharedStrings of styles).
3. Als een aanvaller handmatig een gecompileerde VBA‑stroom (xl/vbaProject.bin) in een .xlsx‑pakket injecteert en de relaties bijwerkt, stuit Excel op een expliciete schema‑contradictie:
   • Het ziet een .xlsx‑extensie gekoppeld aan content‑types die macro‑mogelijkheden aangeven.
   • Excel geeft een fatale integriteitsfout: “Excel kan het bestand ‘filename.xlsx’ niet openen omdat het bestandsformaat of de bestandsextensie niet geldig is. Controleer of het bestand niet beschadigd is…”
4. Als de aanvaller de interne typen intact laat zonder het binaire bestand te registreren, behandelt Excel vbaProject.bin als een niet‑gerefereerde, verweesde bijlage binnen het zip‑archief en verwijdert het volledig tijdens de laadcyclus.

Daarom kan een bestand dat strikt functioneert als een authentieke .xlsx-container geen native VBA-code uitvoeren. Dat betekent echter niet dat .xlsx-bestanden vrij zijn van alle aanvalsvectoren, zoals later in deze gids wordt besproken.

3. Macro-risico’s & de aanvalscyclus

Macro’s werden ontwikkeld om repetitieve boekhoud-, financiële modellering- en gegevensmanipulatietaken te automatiseren via Visual Basic for Applications (VBA). Omdat VBA is ontworpen voor automatisering op de werkvloer, kreeg het uitgebreide toegang tot het onderliggende Windows‑besturingssysteem via het Component Object Model (COM), Windows Script Host (WSH) en directe Win32 API‑aanroepen.

Wanneer een niet‑vertrouwde macro wordt uitgevoerd, draait deze met de exact dezelfde privileges als de aangemelde gebruiker. Hij wordt niet opgesloten in een gevirtualiseerde, JavaScript‑achtige browsersandbox.

+--------------------------------------------------------------------------------+
|                             ATTACK LIFECYCLE                                   |
+--------------------------------------------------------------------------------+
                                       │
                                       ▼
  [ Delivery & Evasion ]  ──────► Spear-phishing email with .xlsm, .xlam, or .zip.
                                       │
                                       ▼
  [ Social Engineering ]  ──────► Lures victim to bypass Protected View ("Enable Content").
                                       │
                                       ▼
  [ Auto-Execution ]      ──────► Auto_Open() or Workbook_Open() triggers automatically.
                                       │
                                       ▼
  [ System Invocation ]   ──────► VBA creates COM objects (WScript.Shell, WinHttp.WinHttpRequest).
                                       │
                                       ▼
  [ Payload Retrieval ]   ──────► Spawns hidden PowerShell/cURL to fetch staging binary.
                                       │
                                       ▼
  [ Post-Exploitation ]   ──────► In-memory execution, credential theft, lateral movement.

Algemene macro-ingressietechnieken

1. Auto‑executie‑hooks: Aanvallers plaatsen hun toegangspunt binnen intrinsieke gebeurtenishandlers zoals Sub Auto_Open() of Private Sub Workbook_Open(). Zodra de gebruiker uitvoeringsrechten verleent, worden deze routines geactiveerd zonder dat er kliks nodig zijn binnen het werkblad.

2. Obfuscatie en Stomping:

   • String-obfuscatie: Payloads verbergen URL’s en systeemaanroepen met behulp van tekenreeksen, XOR-codering, Base64-decodering, of samenvoeging van omgevingsvariabelen (bijv. Chr(112) & Chr(111) & Chr(119)...).
   • VBA Stomping: VBA bestaat in twee vormen binnen vbaProject.bin: geïnterpreteerde broncode en gecompileerde p-code (pseudo-code gericht op de specifieke Office‑versie die het compileerde). Aanvallers kunnen de leesbare broncode volledig wissen, waardoor alleen de gecompileerde p-code overblijft. Veel eenvoudige antivirusoplossingen en statische analysers inspecteren alleen de bronstroom, waardoor de p-code onopgemerkt blijft tot uitvoering door een overeenkomende Office‑versie.

3. Living off the Land (LotL): Moderne kwaadaardige macro’s plaatsen zelden direct een .exe-bestand op schijf, wat onmiddellijk Endpoint Detection and Response (EDR)-agents zou alarmeren. In plaats daarvan communiceren ze met ingebouwde systeemtools:

   • Instantieren van WScript.Shell om opdrachtregelargumenten uit te voeren.
   • Het aanroepen van PowerShell.exe met een uitvoeringsbeleid omzeilt (-ExecutionPolicy Bypass -WindowStyle Hidden).
   • Het aanroepen van native Win32-API’s via Declare PtrSafe Function CreateProcess of VirtualAlloc om shellcode direct in het systeemgeheugen te injecteren.

4. Andere spreadsheet-bedreigingsvectoren (buiten standaard VBA)

Een omgeving beveiligen tegen .xlsm-bestanden is slechts de helft van de strijd. Tegenstanders gebruiken ook mechanismen die onafhankelijk van traditionele VBA werken.

Dynamische gegevensuitwisseling (DDE) en CSV injectie

Excel bevat een verouderd protocol genaamd Dynamic Data Exchange (DDE), ontworpen om gegevensuitwisseling tussen draaiende applicaties mogelijk te maken (bijvoorbeeld het streamen van live beurskoersen van een apart programma naar een Excel-cel).

• Hoe formule-injectie werkt: Wanneer een spreadsheetcel begint met tekens zoals =, @, + of -, interpreteert Excel de inhoud als een formule. Als een aanvaller de invoer die naar een spreadsheet wordt geëxporteerd controleert (bijvoorbeeld een niet-gesanitiseerd “Comments”-veld in een webapplicatie dat wordt geëxporteerd naar CSV of XLSX), kan hij injecteren:

  =cmd|'/C powershell.exe -w hidden -enc <base64_payload>'!A0
  

• Bij openen evalueert Excel de formule, waarschuwt de gebruiker met een prompt over het starten van een externe applicatie, en voert, indien goedgekeurd, de systeem-shell uit.

Excel 4.0 (XLM) legacy-macro’s

Voordat VBA in 1993 werd geïntroduceerd, gebruikte Excel een formulegebaseerd macro‑systeem dat bekend staat als Excel 4.0 (XLM) macro’s. Deze macro’s bevinden zich in speciale macro‑bladen in plaats van in een apart VBA‑project.

Omdat XLM-macro’s worden geschreven als cel‑formules (zoals =EXEC(\"calc.exe\")), omzeilen ze veel standaard VBA‑statische inspectie‑engines. Aanvallers gaven de voorkeur aan XLM-macro’s in de late jaren 2010 en het begin van de jaren 2020 om geautomatiseerde detectie te ontwijken voordat Microsoft ze standaard uitschakelde in moderne enterprise‑versies.

Kwaadaardige externe verbindingen en OLE-objecten

Een gewoon .xlsx‑werkboek kan nog steeds risico’s introduceren via externe bronnen:

• Ingebedde OLE‑pakketten: Een aanvaller kan een uitvoerbaar bestand, vermomd als een ingebed PDF‑pictogram, direct in het werkblad invoegen.
• Externe werkboek‑koppelingen & web‑query’s: Een XLSX kan externe referenties bevatten die bij het openen van het bestand automatisch HTTP‑GET‑verzoeken starten naar door de aanvaller gecontroleerde command‑and‑control (C2)‑servers, voornamelijk gebruikt voor verkenning of netNTLM‑hash‑verzamelingsaanvallen.

5. Enterprise hardening en defense-in-depth strategieën

Bescherming tegen door Excel veroorzaakte bedreigingen vereist een gelaagde aanpak die netwerkinspectie, systeemconfiguratie, toegangscontroles en operationele processen omvat.

+─────────────────────────────────────────────────────────+
|                  ENTERPRISE DEFENSE LAYERS               |
+─────────────────────────────────────────────────────────+
|  PERIMETER: Drop inbound .xlsm, .xla, and .xltm at mail |
|  gateway unless cryptographically signed or exempted.   |
+---------------------------------------------------------+
|  IDENTITY & POLICY: Enforce ASR rules and apply         |
|  Mark of the Web (MotW) macro execution blocks.         |
+---------------------------------------------------------+
|  RUNTIME: Hook AMSI into Office to evaluate dynamic     |
|  VBA buffers directly before execution.                 |
+---------------------------------------------------------+
|  STORAGE: Restrict macro execution exclusively to       |
|  managed, centralized Trusted Locations.                |
+─────────────────────────────────────────────────────────+

1. Handhaaf Mark of the Web (MotW) macro-blokkering

In 2022 heeft Microsoft het standaardgedrag van Office-toepassingen bijgewerkt: macro’s in bestanden die van internet afkomstig zijn, zijn standaard geblokkeerd.

Wanneer een gebruiker een bestand downloadt via een browser of externe client, labelt Windows het bestand met een alternatieve datastroom (ADS) genaamd Zone.Identifier (Zone 3 geeft internet aan). Voor bestanden met deze markering schakelt Excel macro’s volledig uit en toont een rood beveiligingsbanner: > "BEVEILIGINGSRISICO: Microsoft heeft macro’s geblokkeerd omdat de bron van dit bestand niet vertrouwd is."

Administratieve actie: Zorg ervoor dat dit gedrag wordt afgedwongen via Groepsbeleid en niet kan worden overschreven door eindgebruikers:

• GPO-pad: User Configuration > Administrative Templates > Microsoft Excel 2016 > Excel Options > Security > Trust Center
• Instelling: Schakel "Macro’s blokkeren die worden uitgevoerd in Office-bestanden van het internet" in.

2. Configureer Attack Surface Reduction (ASR)-regels

Organisaties die Microsoft Defender for Endpoint gebruiken, moeten de kernregels voor Attack Surface Reduction activeren die specifiek zijn ontworpen voor Office-toepassingen:

• Office-toepassingen blokkeren om childprocessen te maken (GUID: D4F940AB-401B-4EFC-AADC-AD5F3C50688A)
  • Voorkomt dat Excel PowerShell, CMD of scripttalen start.
• Blokkeer Office-toepassingen om code in andere processen te injecteren (GUID: 75668C1F-73B5-4CF0-BB93-3ECF5CB7CC84)
• Blokkeer Win32 API-aanroepen vanuit Office-macro's (GUID: 92E6390C-CF9E-43CE-BD8C-0E6F0FE66680)

3. Benut de Antimalware Scan Interface (AMSI)

Moderne versies van Microsoft 365 integreren VBA-uitvoering direct met AMSI. Zelfs als een aanvaller complexe tekenreeksobfuscatie of VBA-stomping toepast, geeft de VBA-runtime-engine de gereconstrueerde, niet-versleutelde commando’s door aan uw geïnstalleerde antivirus/EDR-engine op het exacte milliseconden vóór uitvoering. Zorg ervoor dat uw endpoint-bescherming actief AMSI-runtime‑gebeurtenissen monitort.

4. Overstappen naar vertrouwde locaties en digitale certificaten

Voor organisaties die afhankelijk zijn van geautomatiseerde spreadsheets voor de dagelijkse bedrijfsvoering:

• Verwijder losse XLSM-bestanden in de Downloads of bureaubladmappen van gebruikers.
• Gebruik vertrouwde locaties: Beperk macro-uitvoering uitsluitend tot alleen-lezen netwerkschijven die door IT-beheerders worden beheerd.
• Codeondertekening: Verplicht dat alle intern ontwikkelde macro’s cryptografisch worden ondertekend met een certificaat uitgegeven door een enterprise Public Key Infrastructure (PKI). Configureer Excel om alleen digitaal ondertekende macro’s uit te voeren en ondertekende macro’s stilzwijgend te blokkeren.

6. Het perspectief van de ontwikkelaar: veilige automatisering bouwen

Als je software ontwikkelt die Excel‑bestanden parseert, genereert of verbruikt (bijv. Python‑pijplijnen met pandas/openpyxl, Node.js‑microservices of C#/.NET‑applicaties), pas dan deze ontwikkelingsmaatregelen toe:

1. Weiger onverwachte bestandsformaten bij de uploadgrens: Als je applicatie financiële rapporten verwacht, valideer dan strikt dat binnenkomende bestanden voldoen aan .xlsx. Inspecteer de interne magic bytes (de standaard zip‑header 50 4B 03 04) en controleer dat er geen vbaProject.bin‑items aanwezig zijn in de archiefindex voordat je ze opslaat in cloud‑buckets of databases.

2. Sanitiseer data tegen formule‑injectie: Bij het exporteren van door gebruikers gegenereerde invoer naar CSV‑ of XLSX‑bestanden, plaats een apostrof (') of een spatie vóór elke cel die begint met gevaarlijke tekens (=, +, -, @, \t, \r):

   def sanitize_for_spreadsheet(value: str) -> str:
       if value and value[0] in ('=', '+', '-', '@', '\t', '\r'):
           return f"'{value}"
       return value
   

3. Migreer van VBA naar Office Scripts of web‑add‑ins: Voor moderne bedrijfsautomatisering, elimineer legacy VBA volledig:

   • Office Scripts: Geschreven in TypeScript, Office Scripts draaien binnen een gesandboxt cloud‑omgeving en functioneren soepel in zowel web‑ als desktop‑edities zonder native OS‑systeemaanroepen bloot te stellen.
   • Office Web Add-ins: Gebouwd met standaard HTML, CSS en moderne JavaScript, communiceren web-add-ins via beheerde JavaScript-API’s en zijn geïsoleerd van het lokale besturingssysteem.

7. Samenvattende checklist voor spreadsheetbeveiliging

• Forceer .xlsx standaard: Vereis dat alle standaard gebruikersworkflows opslaan als macro-vrije .xlsx.
• Blokkeer macro’s van internet‑herkomst: Bevestig dat de MotW‑beleidsafhandeling is uitgerold in uw organisatie via GPO of Intune.
• Schakel ASR‑regels in: Verbied Office‑producten om opdracht‑interpreters of sub‑processen te starten.
• Deprecieer Excel 4.0 (XLM): Zorg ervoor dat verouderde XLM‑macro‑engines permanent zijn uitgeschakeld op alle werkstations.
• Sanitiseer applicatie‑exports: Bescherm CSV‑ en Excel‑generatieroutines tegen CSV/formule‑injectie.
• Schuif richting Office Scripts: Zet verouderde administratieve macro’s over naar TypeScript‑gedreven Office Scripts en beheerde API’s.

Door spreadsheets niet alleen als documentbestanden te beschouwen, maar als gestructureerde softwarecontainers die uitvoerbare mogelijkheden bevatten, kunnen beveiligingsteams en ontwikkelaars effectief een van de oudste aanvalsvectoren in enterprise‑computing neutraliseren.

Veelgestelde vragen (FAQ)

Q1: Kan een bestand dat eindigt op .xlsx een kwaadaardige macro uitvoeren?

Nee, de OpenXML-standaard verbiedt strikt macrocode in .xlsx-bestanden, en Excel zal elk VBA-project dat in een echt .xlsx-container is geïnjecteerd, weigeren of verwijderen.

Q2: Wat moet ik doen als een Excel‑bestand me vraagt om “Bewerken inschakelen” of “Inhoud inschakelen”?

Verleen alleen toestemming als je de afzender kent en het bestand verwachtte; deze prompt is het belangrijkste controlepunt dat onbetrouwbare macro’s toestaat code uit te voeren.

Q3: Hoe bepaalt Microsoft Excel of een bestand van internet afkomstig is?

Windows voegt een verborgen “Mark of the Web” (Zone.Identifier)-stroom toe aan gedownloade bestanden, waardoor Excel ze standaard in Beschermde weergave opent en macro’s blokkeert.

Q4: Zijn CSV‑bestanden veiliger dan XLSX en XLSM bestanden?

CSV-bestanden kunnen geen native VBA-macro’s bevatten, maar ze blijven kwetsbaar voor formule-injectieaanvallen als ze kwaadaardige commando’s bevatten die door Excel bij het openen worden uitgevoerd.

Q5: Hoe verschillen moderne Office‑scripts van traditionele VBA‑macro’s?

Office Scripts draaien op TypeScript binnen een gesandboxt runtime‑omgeving, waardoor ze geen toegang hebben tot je lokale bestandssysteem, opdrachtregel of besturingssysteem‑API’s.

Zie ook

• CSV vs XLSX vs ODS in 2026: Beste spreadsheetformaat voor ontwikkelaars
• XLS vs XLSX vs XLSM vs XLSB - Het juiste spreadsheetformaat kiezen
• Wat is Excel? Belangrijke informatie die je moet weten
• Excel-bestandsformaten: XLSX, XLSM, XLS, XLTX, XLTM
• Verschil tussen XLS en XLSX