Puoi usare olevba che estrae le macro staticamente dal file senza nemmeno aprire office. In FlareVM è già installato, ma puoi installarlo su qualunque OS (github) e poi fare
olevba.py file_infetto.xls