Úspěšný návrat malwaru šířeného pomocí maker vedl útočníky k tomu, že svou pozornost obrátili k příbuzné technologii – automatické aktualizaci odkazů v souborech kancelářských balíků.
Na následující trik jako první upozornil zřejmě Xavier Mertens ze SNAS ICS (alespoň podle HelpNet Security). Škodlivý, ovšem neškodně působící soubor, využívá automatickou aktualizaci linků v MS Wordu. Odtud se pak stahuje a podle konkrétního nastavení automaticky spouští/instaluje samotný škodlivý obsah, přes kód v JavaScriptu; různé zdroje (Mertens vs. služba Malwr) se v popisu poněkud liší. I v případě zobrazení dialogu se však uživatel nesetká s žádným upozorněním na nebezpečí, pouze potvrdí, že chce dokument aktualizovat pomocí odkazů na data jiných dokumentů.
Podobná funkce jako v MS Wordu existuje rovněž v LibreOffice (Nástroje-Aktualizovat-Odkazy ve Writeru), je tedy možné, že příslušný útok by úspěšně kompromitoval i uživatele tohoto balíku. Navíc se ve stejné době objevily i útoky podobného typu s využitím souborů v PowerPointu, které se kombinují se zranitelností CVE 2017-0199. Ta již byla jednou aktivně zneužívána a Microsoft příslušnou opravu vydal v dubnu.
I když oproti makrům nepřináší automatická aktualizace odkazů nic nového, uživatelé o rizicích vesměs nevědí a dialogy je navíc na rizika příliš neupozorňují (v případě druhého zmíněného powerpointového útoku je to trochu lepší, zde se mluví přímo o spouštění externích programů). Navíc v tomto případě na rozdíl od maker asi žádná centrální nastavení platná pro celou síť dosud neuplatňovali ani správci. Dosud jde pouze o kuriozitu, ale možná tento trik v arzenálu podvodníků již zůstane. Možné je i to, že Microsoft fungování automatické aktualizace odkazů vyhodnotí jako problém a funkci nějak změní/opraví, ale na takový scénář to zatím nevypadá.