We hebben het hier over het aloude VBA ("visual basic for applications") waarvan iedereen met een beetje security achtergrond bij introductie al zoiets had van, aftellen tot het eerste macrovirus. We werden niet teleurgesteld. Het verschil hier is dat het om een VBA payload in een "oud formaat" office document gaat, wat met gezipt (zlib) per base64-ecoding in een beetje XML gestopt is. Die XML zegt eigenlijk alleen maar "hier volgt een word document" en dan die data. Maar hee, nu eindigt je bestandje op .xml en niet op .doc en moeten scanners door wat lagen encoding heenkijken. En oh ja, die VBA code doet niet veel meer dan een stukje malware van elders ophalen en dan uitvoeren. Zo zie je maar weer dat oplapsoftware als een malwarescanner zich best wel een hoop moeite moet geven om bij te benen al dat flitsende oh-zo-hulpvaardige en -gebruiksvriendelijke bestandjes interpreteren, uitpakken, nogmaals uitpakken, uitvoeren, en vrolijk meegaan met wat die onbekende data uit den vreemde allemaal wil, waar ...