Excel打开带毒xlsm文件VBA模块为空 如何查看隐藏代码

看到空模块是恶意xlsm文件常用反分析手段导致的，核心原因有两点：

• 恶意作者使用了VBA Stomping技术篡改文件结构：VBA工程本身同时存储两类内容，一类是给VBA编辑器显示的纯文本源代码，另一类是给Office直接执行的编译后P-Code（伪机器码）。攻击者会故意把源代码段替换为空值或者无意义乱码，只保留可执行的P-Code。这种情况下VBA编辑器读不到对应源代码，就只会显示没有内容的空模块壳，但是文件在匹配版本的Office上依然可以正常执行恶意逻辑。
• 你全程没有启用宏：相当一部分恶意宏不会把完整代码放在标准VBA模块里，而是把加密后的恶意代码拆分存在隐藏单元格、自定义XML部件、文件元数据等非VBA存储区，VBA模块里只留了几行用来解密、拉取恶意代码的引导逻辑。你没有启用宏的状态下，引导逻辑本身也被攻击者加了VBA工程可见性锁——也就是直接改了复合文档流里的模块查看标志位，VBE不会渲染这部分内容，自然显示模块为空。
  另外你当时虽然临时禁用了卡巴斯基，但Excel本身的安全机制阻止了宏加载，不会触发任何动态解密、释放代码的逻辑，也会导致你看不到实际代码。

所有操作必须在断网的隔离虚拟机内执行，绝对不要在物理机直接操作，防止恶意文件利用Office漏洞触发无感知代码执行：

• 静态解析法：不需要启动Excel，直接把.xlsm后缀改为.zip解压，找到压缩包路径下的xl/vbaProject.bin文件，这是VBA工程的核心复合文档文件，用本地的OLE复合文档解析工具直接读取文件内的所有流数据，就能直接提取到被隐藏的源代码段、未被抹除的P-Code段，完全绕过Excel VBE的显示限制。
• P-Code反编译法：用本地支持VBA P-Code反编译的分析工具加载vbaProject.bin，哪怕源代码段被完全抹除，也可以把留存的编译后P-Code反编译为可读的VBA代码，能还原绝大多数经过VBA Stomping处理的恶意宏逻辑。
• 隔离环境动态查看法：在隔离虚拟机中打开Excel，按住Shift键（该操作会强制跳过所有Auto_Open、Workbook_Open类的自动执行宏事件）选中染毒文件打开，全程不要点击"启用宏"按钮，先移除VBA工程的查看保护，再刷新VBE工程列表，部分仅修改了可见标志位的模块会直接显示内容；如果依然为空，可以在不启用宏的前提下dump VBA工程的内存数据，从中提取加载的代码内容。

内容的提问来源于stack exchange，提问作者Black Mamba