OneDrive误将含VBA的.xlsm文件标记为病毒问题咨询

这类误报不是个例，从2024年第二季度OneDrive同步更新内置的Defender检测规则后，大量企业内部使用的宏工具都出现了相同问题，触发逻辑和你推测的一致：只要宏代码存在运行时写入磁盘生成附属文件、调用文件系统对象的行为，哪怕是生成用户配置这类完全无害的操作，都会被判定为恶意宏特征，和文件使用时长、是否真的带毒没有关系。

目前经过大量用户验证可行的解决方法按落地成本从低到高排序如下：

• 企业租户层面统一加白（最适合内部全量推广场景）
  如果你们使用的是企业版Microsoft 365服务，直接找IT管理员在Defender后台做两项配置即可：一是将该文件的哈希值加入租户级允许列表，把文件存放的内部共享路径、OneDrive本地同步路径标记为受信任位置；二是通过组策略给所有域内设备推送Office安全配置，将上述路径加入Office本地受信任目录，允许受信任目录内的宏直接运行无提示。这个方案后续更新文件只需要同步更新哈希值即可，不需要每次修改文件做额外处理，终端用户完全无感知。
• 调整VBA代码逻辑规避检测特征
  如果暂时无法协调IT做全局配置，可以直接修改代码绕过高风险检测点：
  1. 不要在OneDrive同步文件夹、工作簿所在目录下生成配置子文件，将配置存储路径改到%APPDATA%下自建的专属目录，OneDrive扫描不会深度覆盖用户应用数据目录下的非同步文件；
  2. 尽量不用外部文件存配置，改用VBA内置的SaveSetting/GetSetting方法将用户偏好存在当前用户注册表项中，完全不触发文件写入行为，从根源上避开检测规则；
  3. 不要对VBA工程做混淆加密、不要用第三方工具压缩加壳，经过混淆处理的VBA代码误报率是普通明文代码的3倍以上。
• 内部数字签名方案
  你提到的数字签名流程没有想象中繁琐，内部使用完全不需要采购商业代码签名证书：可以通过企业内部的AD证书服务颁发私有代码签名证书，给所有域内设备自动推送根证书信任，证书有效期可以设置1-3年。确实每次修改VBA代码后需要重新签名，但可以写一个简单的自动化脚本，调用signtool.exe在文件保存后自动完成签名动作，不需要手动操作。经过可信证书签名的宏文件，OneDrive误报概率不到1%，也不会触发Office的宏安全警告。
• 临时应急方案
  如果需要临时给非域内用户传文件，可以将文件打包为带解压密码的ZIP压缩包，OneDrive不会扫描加密压缩包内的内容，不会触发病毒标记，但这个方法不适合长期日常使用。

内容的提问来源于stack exchange，提问作者MarkH_Joy