Обновление Excel в марте блокирует запуск XLL‑файлов из интернета

Microsoft объявила об обновлении, которое выйдет в марте и продолжает их работу по защите от атак через набор приложений Microsoft Office. Цель обновления — помешать злоумышленникам использовать XLL‑файлы для внедрения нежелательного ПО в системы жертв. В этом материале объясняем, что такое XLL, какие изменения придут, какие риски они закрывают и какие практики внедрить в вашей организации.

Что такое XLL файлы

XLL — это расширяемая динамическая библиотека для Microsoft Excel, предназначенная для добавления функций, лент, диалоговых окон и других расширений. Проще говоря, XLL‑надстройки позволяют разработчикам, в том числе сторонним, писать код, который расширяет встроенные возможности таблиц.

Краткое определение: XLL — бинарная надстройка, реализованная в формате DLL и оптимизированная для интеграции с Excel.

Почему их используют:

• добавление вычислительных функций и пользовательских формул;
• интеграция с внешними библиотеками и службами;
• создание специализированных панелей и интерфейсных элементов.

Риск: XLL исполняет код на компьютере пользователя, поэтому при запуске из ненадежного источника он может выполнять любые операции с правами текущего пользователя.

Какие изменения принесёт обновление

Начиная с марта этого года, Excel перестанет запускать XLL‑файлы, которые были загружены из интернета. Другими словами, надстройки в формате XLL, полученные извне, будут блокироваться и не будут автоматически выполняться.

Последствия для пользователей и организаций:

• сторонние XLL‑надстройки, загруженные из интернета, перестанут работать до тех пор, пока администратор не предпримет безопасные шаги;
• локальные, подписанные и distribuированные через централизованное управление надстройки могут остаться совместимыми при правильной настройке;
• снижение риска доставки вредоносного ПО через XLL, в том числе кражи данных и распространения программ‑вымогателей.

Эта мера последовала за тем, как несколько опасных семейств вредоносного ПО начали использовать XLL в качестве нового вектора доставки после того, как по умолчанию был заблокирован запуск VBA‑макросов.

Как избежать проблем до релиза патча

Патч выйдет в марте. До его установки следуйте простым правилам безопасности:

1. Не скачивайте XLL с неизвестных сайтов и не открывайте вложения в письмах, которые вы не ожидали.
2. Если появляется диалог установки XLL, откажитесь от установки до подтверждения источника.

3. Рассматривайте любые запросы на установку XLL, даже от клиентов или коллег, как подозрительные и при возможности сообщайте в команду информационной безопасности.
4. Планируйте тестирование критичных надстроек в контролируемой среде сразу после выхода патча.
5. Обновите Excel на рабочих станциях и серверах, как только патч станет доступен.

Важное замечание

Не устанавливайте XLL, если вы не уверены в источнике и механизме распространения надстройки. XLL исполняет код на машине пользователя и при неправильной конфигурации представляет серьёзную угрозу.

Роли и чек‑листы: кто что делает

Руководителю IT

• уведомить пользователей о предстоящем обновлении и ожидаемых изменениях в совместимости;
• согласовать тестовую группу для проверки критичных надстроек;
• подготовить инструкцию по распространению безопасных надстроек внутри организации.

Системному администратору

• настроить централизованное распространение доверенных XLL через корпоративные репозитории или политики;
• протестировать подпись и механизм развёртывания в тестовой среде;
• подготовить откатный план на случай несовместимости.

Обычному пользователю

• не скачивать XLL из интернета;
• при появлении запроса установки обратиться к IT;
• обновить Excel, когда выйдет патч.

Критерии приёма для внедрения обновления

• все рабочие станции прошли обновление в течение согласованного окна релиза;
• критичные бизнес‑процессы протестированы с отключёнными внешними XLL;
• доверенные надстройки задеплоены централизованно и проверены на предмет цифровой подписи;
• инструкции для пользователей и поддержка IT доступны в течение 24 часов после релиза.

План отката и инцидент‑рунбук

Если после релиза у вас появляется совместимость, влияющая на бизнес, используйте следующий алгоритм:

1. Выделите набор пострадавших машин и сохраните журнал событий.
2. Переключите пользователей на резервные процедуры (временные альтернативы без XLL).
3. Откатите обновление только в крайнем случае и только после согласования с руководством и специалистами по безопасности;
4. Если подозреваете компрометацию, изолируйте систему, выполните форензик‑анализ и восстановите из проверенной резервной копии.

Альтернативные подходы для разработчиков надстроек

• перевести функциональность с XLL на надстройки на основе COM‑addin или JavaScript API для Office, где это возможно;
• обеспечить цифровую подпись и централизованную поставку через корпоративный репозиторий;
• минимизировать привилегии кода в надстройке и избегать выполнения внешних исполняемых модулей.

Факт‑бокс: что важно помнить

• Когда: обновление выходит в марте.
• Что блокируется: XLL‑файлы, загруженные из интернета.
• Почему: XLL использовали вредоносные кампании после блокировки макросов.
• Короткая рекомендация: не запускать XLL из ненадёжных источников, обновить Excel сразу после релиза.

Примеры, когда эта мера может не подойти

• организации с критичными внутренними XLL, развёрнутыми через неправильные каналы, столкнутся с временной потерей функциональности;
• узкоспециализированные вычислительные библиотеки, зависящие от XLL, придётся переносить или официально подписывать и централизованно распределять.

Резюме

Обновление Microsoft закроет реальный вектор атак и повысит общую безопасность экосистемы Office. Для организаций это сигнал пересмотреть механизмы распространения расширений и наладить централизованную доставку доверенных надстроек. Для пользователей — простое правило: не скачивайте и не устанавливайте XLL из интернета без подтверждённого источника.

Ключевые шаги прямо сейчас:

• уведомите сотрудников;
• подготовьте тестовую группу;
• обеспечьте план отката и процессы инцидент‑реакции;
• обновите Excel сразу после выхода патча.

Важно: своевременные обновления и минимизация прав у исполняемого кода остаются базовыми инструментами защиты от современных угроз.

Часто задаваемые вопросы

Что делать, если надстройка перестала работать после обновления?

Обратитесь в IT. Администратор должен проверить способ распространения надстройки, цифровую подпись и возможность централизованного развёртывания через корпоративную политику.

Можно ли перенести функциональность XLL в другой формат?

Да. Варианты: COM‑addin, Office JavaScript API или внутренняя служба, вызываемая через безопасный мост. Выбор зависит от требований производительности и совместимости.

Убедит ли это обновление, что все угрозы закрыты?

Нет. Это снижает риск от конкретного вектора доставки, но безопасность требует многоуровневого подхода: обновления, защита конечных точек, резервные копии и обучение пользователей.