Cybercriminelen gebruiken alweer enige tijd macro's in documenten om malware te verspreiden, maar nu zijn er ook aanvallen waargenomen waarbij XML-bestanden werden ingezet. Macro's laten gebruikers verschillende taken automatiseren en werden jaren terug op grote schaal door malware gebruikt. Vanwege de veiligheidsrisico's besloot Microsoft daarom om macro's standaard in Office te blokkeren.

Een jaar geleden verschenen er steeds meer .doc- en .xls-documenten waarin macro's zaten verstopt. In de documenten werden gebruikers opgeroepen om macro's in te schakelen. Zodra de gebruiker de macro inschakelt wordt er in de achtergrond bijvoorbeeld malware gedownload en geïnstalleerd. Een tactiek die succesvol lijkt te zijn, want begin dit jaar gaf Microsoft al een waarschuwing af voor macro-malware. Nu waarschuwt beveiligingsbedrijf Trustwave voor een nieuwe aanval waarbij kwaadaardige macro's via XML-bestanden worden gebruikt.

XML staat voor Extensible Markup Language en op XML-gebaseerde formaten zijn de standaard voor verschillende officetools geworden, waaronder ook Microsoft Office. Als een gebruikers het XML-bestand opent wordt Office geladen en verschijnt weer de melding dat macro's moeten worden ingeschakeld. Na het inschakelen wordt er een kwaadaardig script uitgevoerd dat een Trojaans paard downloadt en installeert. Het gaat om de Dridex banking Trojan, malware die speciaal ontwikkeld is om geld van online bankrekeningen te stelen. Het Internet Storm Center (ISC) geeft organisaties advies hoe ze dit soort XML-bestanden kunnen filteren.