Il macro malware è codice malevolo incorporato nelle macro dei documenti, il più delle volte nei file di Microsoft Office. Le macro sono piccoli script progettati per automatizzare attività ripetitive, ma gli attaccanti le abusano per eseguire comandi, scaricare payload o avviare ulteriore malware quando un documento viene aperto e le macro sono abilitate. Questo rende il documento stesso un veicolo di consegna per l'intrusione.
È importante perché il macro malware trasforma una funzione di produttività affidabile in una superficie di attacco. I difensori in genere bloccano le macro provenienti da Internet, monitorano i processi figli di Office e ispezionano i documenti alla ricerca di automazione sospetta. Negli attacchi reali, le macro possono attirare gli utenti con una fattura o un report falsi, quindi attivare script che si collegano a un server, disabilitano le protezioni o avviano una catena di payload. Gli strumenti di sicurezza monitorano anche l'attività basata su macro perché è un primo passo comune nel phishing e può essere usata per testare i controlli degli endpoint o attivare flussi di remediation.