Office Makros automatisiert kontrollieren - Security Thematik

'(?i)\.Run|Shell|powershell|executionpolicy|\.exec|kill|cmd\.exe'

powershell -Executionpolicy Bypass -File "C:\script.ps1" "[ORDNER-PFAD DER OFFICE-DATEIEN]" "[PFAD ZUR REFERENZ VBAPROJECT.BIN]"

param(
    [parameter(Mandatory=$true)][ValidateScript({Test-Path $_})][string]$folder,
    [parameter(Mandatory=$true)][ValidateScript({Test-Path $_})][string]$vbaref
)

# Benötigt wird mindestens NET-Framework 4.5 und Powershell 3.0
if ($PSVersionTable.PSVersion.Major -lt 3){write-host "ERROR: Minimum Powershell Version 3.0 is required!" -F Yellow; return}   

# =================== Variablen ============================================
# Ordner in den die Dateien je nach Status verschoben werden
$quarantine_folder = "$folder\quarantäne"  
$clean_folder = "$folder\clean"  
# zu überprüfende Dateierweiterungen
$extensions = @('.xlsm','.xltm','.docm','.dotm','.pptm','.ppsm','.potm')  
# ==========================================================================
# benötigte Assemblies laden
Add-Type -AssemblyName System.IO.Compression
Add-Type -AssemblyName System.IO.Compression.Filesystem

# Ausgabe Ordner erstellen
if (!(Test-Path $quarantine_folder)){md $quarantine_folder -Force}
if (!(Test-Path $clean_folder)){md $clean_folder -Force}

# Hash-Funktion
function md5([System.IO.FileInfo]$fileobj){
    $md5 = [System.Security.Cryptography.MD5]::Create()
    Try{
        $stream = $fileobj.OpenRead()
        $hash = [System.BitConverter]::ToString($md5.ComputeHash($stream))
        $stream.Close();$stream.Dispose();$md5.Dispose()
        return $hash
    }catch{
        write-host "Error: $($_.Exception.Message)"  
        return $false
    }
}

# Temporäre Extrahierungs-Pfade für die Datei die geändert wird
$vbaprojectfile = "$env:TEMP\vbaProject.bin"  
# Hash der Referenzdatei berechnen
$hash_ref = md5 $vbaref
# Dateien ausfiltern
$files = gci $folder | ?{$_.Extension -in $extensions}
$log = @()

foreach ($file in $files){
    # Dokument als ZIP-Datei im Read-Modus öffnen
    $zipfile = [System.IO.Compression.ZipFile]::Open($file.Fullname,[System.IO.Compression.ZipArchiveMode]::Read)
     
    # Falls die temoporäre Datei existiert lösche sie
    remove-item $vbaprojectfile -Force -EA Ignore
    
    # Einträge der benötigte Dateien aus dem Dokument holen
    $entry = $zipfile.Entries | ?{$_.Name -eq 'vbaProject.bin'} | select -First 1  
    
    if ($entry){
        # vbaproject.bin extrahieren
        [System.IO.Compression.ZipFileExtensions]::ExtractToFile($entry,$vbaprojectfile)
        # Zipfile-Resourcen freigeben
        $zipfile.Dispose()

        # Hash berechnen
        $hash_file = md5 $vbaprojectfile
        # Checken ob Hash mit Hash des Referenz-File übereinstimmt ...
        if ($hash_ref -eq $hash_file){
            $file | move-item -Destination $clean_folder -Force
            $log += [pscustomobject] @{"Filename"=$file.Fullname;'Result'='HASH OK';'Hash'=$hash_file}  
            
        }else{
            $file | move-item -Destination $quarantine_folder -Force
            $log += [pscustomobject] @{"Filename"=$file.Fullname;'Result'='HASH MISMATCH';'Hash'=$hash_file}  
            
        }
    }else{
        $zipfile.Dispose()
        $file | move-item -Destination $clean_folder -Force
        $log += [pscustomobject] @{"Filename"=$file.Fullname;'Result'='NO VBA PROJECT';'Hash'=''}  
    }
    
}
# Log anzeigen
$log | sort Result | ft -GroupBy Result -AutoSize