用途：当可疑 Office 文档（.doc、.docm、.xls、.xlsm、.ppt）被邮件安全系统标记，或需调查投递武器化文档的钓鱼活动时，用本技能提取并分析 VBA 宏，定位载荷下载 URL、执行方式与完整攻击链；也可判断文档是否改用 DDE、ActiveX 或远程模板注入而非宏。
前提条件：Python 3.8+ 并安装 oletools（pip install oletools）；使用 Didier Stevens 的 oledump.py；在未安装 Microsoft Office 的隔离分析虚拟机中操作以防误执行；Excel 4.0 宏分析需 XLMDeobfuscator（pip install xlmdeobfuscator）；可用 LibreOffice 安全渲染（默认不执行 VBA）。
主要能力与流程：先用 olevba、oleid、oledump.py 做初步分级，确认是否含 VBA/XLM 宏、外部关系、嵌入对象；再用 olevba --decode --deobf 提取并反混淆 VBA 源码，识别 Auto_Open、Document_Open、Workbook_Open 等自动触发点，以及 Shell、WScript.Shell、PowerShell、URLDownloadToFile、MSXML2.XMLHTTP、ADODB.Stream 等可疑函数；通过解析 Chr()、字符串拼接、ChrW、StrReverse、Replace 去混淆字符串；用 olevba --xlm、xlmdeobfuscator 处理 Excel 4.0 宏；检查 DDEAUTO 字段、attachedTemplate 远程模板与外部关系；最后整理含文档元数据、触发方式、去混淆代码、下载 URL、执行方法、社会工程诱饵、IOC（URL/域名/IP/哈希）及 YARA 规则的分析报告。
适用场景：分析带混淆 VBA 宏的钓鱼文档，追踪从入口函数到下载载荷的执行流，提取第二阶段的下载地址与 C2。
限制与注意：不适用于非宏 Office 威胁的深度分析（本技能虽覆盖检测，但可能需专门工具）；不要用 Microsoft Office 直接打开文档做“快速分析”；注意 UserForm 中的 VBA 代码、文档元数据以及同一文档同时含 VBA 与 XLM 宏的情况。文档未提供收费、平台与更多具体规格信息。