Zum Inhalt springen
Aback Tools Logo

VBA P-Code/Komprimierter Makro-Extraktor

Extrahieren und dekomprimieren Sie VBA-Makros aus Office-Dokumenten (DOCX, XLSX, PPTX). Analysieren Sie ZIP-basierte OOXML-Archive, dekomprimieren Sie PERFORMED/DEFLATE-komprimierte vbaProject.bin-Streams und stellen Sie Makroquellcode aus den VBA-Projektmodulen wieder her. Automatisch ausgeführte Makros werden mit ihren Auslöseereignissen zur Sicherheitsanalyse gekennzeichnet. Kostenlos, privat und keine Anmeldung erforderlich.

VBA P-Code / Compressed Macro Extractor

Upload Office documents (DOCX, XLSX, PPTX) to extract and decompress embedded VBA macros. Recovers macro source code from compressed vbaProject.bin streams, detects auto-execute macros, and provides hex dump views for forensic analysis. All processing runs locally in your browser.

Drop a document here or click to browse

Supports DOCX, XLSX, and PPTX files

How to Use the VBA P-Code/Compressed Macro Extractor

Upload any Office Open XML document (DOCX, XLSX, PPTX) to extract embedded VBA macro source code. The tool parses the ZIP-based OOXML structure, finds vbaProject.bin entries, decompresses DEFLATE-compressed PERFORMED data streams, and recovers VBA source code from the project modules. All processing is done entirely in your browser — no data is uploaded to any server. Auto-execute macros are flagged with their trigger events for security analysis.

Warum sollten Sie unseren VBA P-Code/Compressed Macro Extractor verwenden?

  • Extrahieren Sie VBA-Makros aus Office-Dokumenten: Laden Sie DOCX-, XLSX- oder PPTX-Dateien hoch, um eingebettete VBA-Makros zu extrahieren. Unser Tool analysiert automatisch die ZIP-basierte Office Open XML-Struktur, findet vbaProject.bin-Einträge, dekomprimiert deflatekomprimierte Streams und extrahiert Makroquellcode aus dem VBA-Projektspeicherstream. Funktioniert mit jedem Office-Dokument, das Makros enthält.
  • Sichere und private Makroextraktion: Die gesamte Extraktion, Dekomprimierung und Dekompilierung von VBA-Makros erfolgt vollständig in Ihrem Browser. Ihre Office-Dokumente, extrahierten Makros und dekomprimierten Quellcode verlassen niemals Ihr Gerät. Kein Hochladen von Daten auf einen Server, keine Nachverfolgung, keine Anmeldung erforderlich – vollständige Privatsphäre für die Analyse sensibler Dokumente.
  • Quelle aus verschleierten Makros wiederherstellen: Extrahieren Sie die VBA-Makroquelle aus Dokumenten, in denen Makros komprimiert, codiert oder verschleiert sind. Das Tool dekomprimiert PERFORMED-Streams mithilfe der Standard-DEFLATE-Komprimierung (RFC 1951) und rekonstruiert den ursprünglichen VBA-Quellcode aus den PROJECT- und Modul-Streams. Unterstützt sowohl komprimierte als auch unkomprimierte VBA-Projektformate.
  • Detaillierte Makroanalyse mit Hex-Ansicht: Sehen Sie sich extrahierte Makros mit Quellcode-Vorschau, Zeilenanzahl und Zeichenanalyse an. Jedes erkannte Makro wird mit Modulname, Typ (Sub/Funktion/Modul), Status der automatischen Ausführung und komprimierten bzw. unkomprimierten Größen aufgelistet. Hex-Dump-Ansicht der Rohdaten des VBA-Projekts, die für die forensische Analyse verfügbar sind.

Was ist VBA-P-Code und komprimierter Makrospeicher?

VBA-P-Code (Pseudocode) ist eine Zwischendarstellung des VBA-Quellcodes, den die VBA-Laufzeit vor der Ausführung kompiliert. Wenn Sie ein Makro in einer Office-Anwendung erstellen, wird die VBA-Quelle in einem komprimierten tokenisierten Format in der OLE2-Verbunddateistruktur des Dokuments gespeichert. Office-Dokumente (DOCX, XLSX, PPTX) sind eigentlich ZIP-Archive, die XML-Dateien und Binärstreams enthalten. Das VBA-Projekt wird als vbaProject.bin in der ZIP-Datei gespeichert, die mehrere Streams enthält, darunter den PROJECT-Stream (Modulinventar und Referenzen), VBA/ModuleName-Streams (komprimierter Quellcode mit PERFORMED/DEFLATE-Komprimierung) und den PROJECTTKB-Stream (Typbibliothek und Abhängigkeitsinformationen). Unser Tool analysiert diese gesamte Struktur, um die ursprüngliche VBA-Quelle wiederherzustellen.

So funktioniert unser VBA-P-Code/komprimierter Makro-Extraktor

  1. 1. Laden Sie ein Office-Dokument hoch: Wählen Sie eine beliebige Office Open XML-Datei (DOCX, XLSX, PPTX) mit der Dateiauswahl oder per Drag-and-Drop aus. Das Tool validiert die ZIP-Signatur und identifiziert den Dokumenttyp – Word, Excel oder PowerPoint. Die Datei wird vollständig in Ihrem Browser verarbeitet, ohne dass sie auf einen Server hochgeladen wird.
  2. 2. VBA-Projekt extrahieren und dekomprimieren: Das Tool analysiert das ZIP-Archiv, um alle vbaProject.bin-Einträge zu finden. Die VBA-Projektbinärdatei wird mithilfe der standardmäßigen DEFLATE-Komprimierung (RFC 1951) über die native DecompressionStream-API des Browsers dekomprimiert. Der PROJECT-Stream wird analysiert, um alle Modulnamen aufzulisten, und jeder VBA-Modulstream wird dekomprimiert, um den ursprünglichen VBA-Quellcode wiederherzustellen.
  3. 3. Extrahierte Makros anzeigen und analysieren: Der extrahierte Makro-Quellcode wird mit Modulnamen, Zeilenanzahl und Zeichenanalyse angezeigt. Automatisch ausgeführte Makros werden mit ihren Triggerereignissen (Document_Open, AutoOpen, Workbook_Open usw.) gekennzeichnet. Für eine tiefgreifende forensische Analyse steht eine Hex-Dump-Ansicht der Rohdaten des VBA-Projekts zur Verfügung. Klicken Sie auf „Kopieren“, um den extrahierten Quellcode für weitere Untersuchungen zu speichern.

VBA-Speicherstruktur für Office-Dokumente

  • OOXML-ZIP-Archiv: Office-Dokumente (DOCX, XLSX, PPTX) sind ZIP-Archive, die typisierte XML-Teile und Binärströme enthalten. Das VBA-Projekt wird je nach Dokumenttyp als Binärstream unter word/vbaProject.bin , xl/vbaProject.bin oder ppt/vbaProject.bin gespeichert.
  • PROJECT-Stream: Enthält das Modulinventar, in dem alle VBA-Modulnamen, Dokumentklassenzuordnungen und Projektreferenzen aufgeführt sind. Dieser Stream wird als einfacher Unicode-Text gespeichert und analysiert, um alle Moduleinträge zu identifizieren, bevor deren Quellcode extrahiert wird.
  • Modul-Streams (VBA/ModuleName): Jedes VBA-Modul verfügt über einen entsprechenden Stream, der den komprimierten Quellcode enthält. Die Quelle wird mit der PERFORMED-Komprimierung komprimiert, einer Variante von DEFLATE (RFC 1951) mit einem VBA-spezifischen Header. Das Tool erkennt und dekomprimiert dieses Format, um den ursprünglichen VBA-Quellcode wiederherzustellen.
  • Automatisch ausführende Makros: Bestimmte Makronamen werden automatisch durch Office-Ereignisse ausgelöst: Auto_Open, Document_Open, Workbook_Open und mehr. Diese werden während der Extraktion gekennzeichnet, da sie häufig von Malware zur automatischen Ausführung beim Öffnen des Dokuments verwendet werden.

Datenschutz, Sicherheit und Verfügbarkeit

Der VBA P-Code/Compressed Macro Extractor ist 100 % kostenlos und erfordert keine Anmeldung. Die gesamte Dokumentanalyse, ZIP-Extraktion, DEFLATE-Dekomprimierung und VBA-Projektanalyse wird lokal in Ihrem Browser durchgeführt – Ihre Office-Dokumente, extrahierten Makros und dekomprimierten Quellen verlassen niemals Ihr Gerät. Es gibt keine Nutzungsbeschränkungen oder -einschränkungen. Das Tool unterstützt das Hochladen von Dateien per Drag-and-Drop, mehrere Dokumentformate (DOCX, XLSX, PPTX), die automatische Makroerkennung mit Triggernamen, die Hex-Dump-Ansicht für forensische Analysen und das Kopieren des extrahierten Quellcodes mit einem Klick. Verwenden Sie es so oft wie nötig für Ihre Sicherheitsforschung, Malware-Analyse oder Bildungszwecke.

Häufig gestellte Fragen

VBA-P-Code (Pseudocode) ist die tokenisierte Zwischendarstellung des in Office-Dokumenten gespeicherten VBA-Quellcodes. Wenn Sie ein makrofähiges Dokument speichern, wird die VBA-Quelle komprimiert und mithilfe der PERFORMED/DEFLATE-Komprimierung im vbaProject.bin-Stream gespeichert. Unser Tool analysiert die ZIP-basierte OOXML-Struktur, findet vbaProject.bin-Einträge, dekomprimiert die DEFLATE-komprimierten Daten und stellt den ursprünglichen VBA-Quellcode wieder her, indem es den PROJECT-Stream und die Modul-Streams analysiert.

Das Tool unterstützt die Dateiformate DOCX (Word), XLSX (Excel) und PPTX (PowerPoint) – die modernen Office Open XML-Formate, die intern ZIP-Archive sind. Ältere binäre OLE2-Formate (DOC, XLS, PPT) werden nicht direkt unterstützt. Wenn Sie ein Dokument im Binärformat haben, können Sie es in einer aktuellen Version von Office öffnen und es vor dem Hochladen erneut im OOXML-Format (z. B. .docx statt .doc) speichern.

Das Tool kann die rohe VBA-Projektbinärdatei aus passwortgeschützten Dokumenten erkennen und extrahieren. Der eigentliche VBA-Quellcode in kennwortverschlüsselten Projekten kann jedoch mit dem Projektkennwort als kryptografischem Schlüssel verschlüsselt werden. Das Tool zeigt weiterhin den Hex-Dump und die Projekt-Stream-Metadaten an, der Quellcode erscheint jedoch möglicherweise als verstümmelte Binärdatei, wenn die Modul-Streams verschlüsselt sind. Bei standardmäßig komprimierten (aber nicht passwortgeschützten) Makros wird der Quellcode vollständig wiederhergestellt.

Office verwendet die PERFORMED-Komprimierung, eine proprietäre Variante der standardmäßigen DEFLATE-Komprimierung (RFC 1951) mit einem VBA-spezifischen Framing-Header. Die komprimierten Modulströme beginnen mit einem Signaturbyte (0x01 für unkomprimiert, 0x02 für komprimiert), gefolgt von der komprimierten Datennutzlast. Unser Tool verwendet die native DecompressionStream-API des Browsers, um den DEFLATE-Stream zu dekomprimieren, und verarbeitet die VBA-spezifischen Header, um den ursprünglichen Quellcode wiederherzustellen.

Automatisch ausführende Makros sind VBA-Prozeduren mit speziellen Namen, die Office automatisch als Reaktion auf Dokument- oder Anwendungsereignisse ausführt. Zu den gängigen Namen für die automatische Ausführung gehören Auto_Open, Document_Open, Workbook_Open, Auto_Exec und Sheet_Activate. Malware-Autoren verwenden häufig automatisch ausgeführte Makros, um Schadcode auszuführen, sobald ein Dokument geöffnet wird – oft ohne Wissen des Benutzers. Das Tool kennzeichnet diese Makros mit ihren spezifischen Auslöseereignissen, um Sicherheitsanalysten dabei zu helfen, potenziell gefährliche Dokumente schnell zu identifizieren.

Ja – 100 % sicher. Der VBA P-Code/Compressed Macro Extractor läuft vollständig in Ihrem Browser. Ihre Office-Dokumente, extrahierten Makro-Quellcodes, dekomprimierten Daten, Hex-Dumps und Analyseergebnisse werden niemals auf einen Server hochgeladen, in einer Datenbank gespeichert oder über das Netzwerk übertragen. Das gesamte ZIP-Parsing, die DEFLATE-Dekomprimierung, die VBA-Projekt-Stream-Analyse und die Quellcode-Wiederherstellung werden lokal auf Ihrem Gerät ausgeführt, ohne API-Aufrufe oder Datenerfassung.

Mehrere Faktoren können eine vollständige Wiederherstellung der Makroquelle verhindern: Das VBA-Projekt ist möglicherweise kennwortverschlüsselt (die Modulströme werden mit dem Projektkennwort verschlüsselt), das Dokument verwendet möglicherweise ein älteres binäres OLE2-Format anstelle von OOXML, die Komprimierung verwendet möglicherweise eine nicht standardmäßige Variante, die von der integrierten Dekomprimierung nicht unterstützt wird, oder das VBA-Projekt ist möglicherweise leer (es wurde kein tatsächlicher Makrocode gespeichert). In diesen Fällen meldet das Tool immer die rohen VBA-Binärdaten und den Hex-Dump zur manuellen forensischen Analyse.

Ja – 100 % kostenlos, ohne Anmeldung, ohne Konto und ohne Nutzungsbeschränkungen. Extrahieren und dekomprimieren Sie VBA-Makros aus beliebig vielen Office-Dokumenten, so oft Sie möchten. Alle Funktionen – Datei-Upload per Drag-and-Drop, Unterstützung aller Dokumentformate (DOCX/XLSX/PPTX), DEFLATE-Dekomprimierung, Modul-Browsing, Quellcode-Vorschau, Hex-Dump-Ansicht, PROJECT-Stream-Viewer, automatische Makroerkennung, Kopieren einzelner oder des gesamten Quellcodes und Herunterladen von .bas-Dateien – sind ohne Einschränkungen verfügbar. Keine Premium-Stufen, versteckte Kosten oder Tarifbeschränkungen jeglicher Art.