3. Внутри документа есть обработчик AutoOpen() (VBA). Как только макросы разрешены, код запускается без дополнительных действий пользователя. Он извлекает из скрытого модуля зашифрованный исполняемый файл (или скрипт), сохраняет его и запускает. Запущенный модуль добавляет себя в авт…

Видимое описание соответствует вредоносному макросу-загрузчику (дропперу): обработчик AutoOpen запускает код при открытии документа с разрешёнными макросами, а код извлекает и запускает полезную нагрузку. Упоминание добавления модуля в автозагрузку указывает на попытку закрепиться в системе. Последняя фраза обрезана, поэтому уточнить её полностью нельзя.