Sandbox: VirusTotal Hash-Lookup (opt-in) — Wenn unter Einstellungen → Sandbox ein VirusTotal-API-Key hinterlegt ist, fragt die Sandbox jeden Anhang mit SHA256-Hash bei der VT v3 API an (nur Hash-Lookup, kein File-Upload). Treffer erhöhen den Sandbox-Score auf mindestens 70 und erscheinen als eigene Reason im Verdikt. Das Ergebnis (Anzahl positiver Engines + Link zum VT-Report) ist im Sandbox-Report-Modal unter dem Anhänge-Tab als eigene Karte sichtbar; die Flag-Spalte zeigt VT:N (rot) bzw. VT:clean (grün) direkt in der Tabelle. Einstellbar über Einstellungen → Sandbox → VirusTotal API-Key (leer lassen = deaktiviert). Free-Tier reicht für 500 Abfragen/Tag.
Sandbox: exakte OVBA-Offset-Auflösung — Die VBA-Makro-Extraktion liest jetzt den komprimierten dir-Stream aus dem OLE-Compound-File und ermittelt für jedes Modul den exakten MODULEOFFSET (Record-ID 0x0031) aus dem PROJECTMODULES-Abschnitt. Bisher wurde der Offset heuristisch über den 0x01-Signature-Byte-Scan gesucht, was bei manchen Dateien zur falschen Startposition führen konnte. Mit den exakten Offsets wird der MS-OVBA-Dekompressor direkt am richtigen Einsprungpunkt aufgerufen; der heuristische Scan bleibt als Fallback erhalten.