nmantani/archiver-motw-support-comparisonيقارن دعم أدوات الأرشفة في Windows لنشر Mark of the Web، مما يساعد الفرق على تقييم الأدوات التي تحافظ على MOTW والتخفيف من تسليم البرمجيات الخبيثة القائمة على وحدات الماكرو.
الإنجليزية | اليابانية
في 3 مارس 2022، أعلنت Microsoft أن السلوك الافتراضي لتطبيقات Office على Windows سيتم تغييره لحظر وحدات الماكرو في الملفات القادمة من الإنترنت (مثل مرفقات البريد الإلكتروني).
مقتطف من الإعلان:
تُعد وحدات ماكرو VBA وسيلة شائعة يستخدمها الجهات الخبيثة للوصول إلى الأنظمة ونشر البرمجيات الخبيثة وبرامج الفدية. لذلك، وللمساعدة في تحسين الأمان في Office، نغيّر السلوك الافتراضي لتطبيقات Office لحظر وحدات الماكرو في الملفات القادمة من الإنترنت.
...
يؤثر هذا التغيير فقط على Office على الأجهزة التي تعمل بنظام Windows، ويؤثر فقط على التطبيقات التالية: Access وExcel وPowerPoint وVisio وWord.
سيبدأ طرح هذا التغيير في الإصدار 2203، بدءًا من القناة الحالية (معاينة) في أوائل أبريل 2022. لاحقًا، سيكون التغيير متاحًا في قنوات التحديث الأخرى، مثل القناة الحالية والقناة المؤسسية الشهرية.
يُعد هذا تحسينًا كبيرًا في الدفاع ضد ملفات مستندات Office الخبيثة.
وفقًا للإعلان، يتم تحديد ما إذا كان سيتم حظر الماكرو أم لا بناءً على سمة MOTW (Mark of the Web) للملف. تضع التطبيقات مثل متصفحات الويب وعملاء البريد الإلكتروني MOTW على الملفات التي تم تنزيلها ومرفقات البريد الإلكتروني القادمة من الإنترنت. يتم تخزين MOTW في تدفق البيانات البديل لـ NTFS المسمى Zone.Identifier.
لحظر ماكرو ملفات مستندات Office الخبيثة التي يتم استخراجها من ملفات الأرشيف، يجب على برنامج الضغط نقل MOTW إلى الملفات المستخرجة عندما يحمل ملف الأرشيف سمة MOTW. إذا لم يقم برنامج الضغط بنقل MOTW، يمكن لمستندات Office الخبيثة الموجودة في ملفات الأرشيف التحايل على الحظر.
طرأ سؤال: "ما برنامج الضغط الذي يمكنه نقل MOTW إلى الملفات المستخرجة؟" لذا اختبرت بعض برامج الضغط ولخصت النتائج.
*1: على الرغم من أن 7-Zip يدعم نقل MOTW منذ الإصدار 22.00، إلا أنه معطّل افتراضيًا. يمكنك تفعيله لواجهة 7-Zip الرسومية (GUI) عبر خيار "Propagate Zone Id stream:" ضمن "Tools" -> "Options" -> "7-Zip" في 7-Zip File Manager.
عند ضبط الخيار على "Yes"، ينقل 7-Zip MOTW إلى جميع الملفات المستخرجة. وعند ضبطه على "For Office files"، ينقل 7-Zip MOTW إلى الملفات ذات الامتدادات التالية:
يمكنك أيضًا تفعيل نقل MOTW بضبط قيمة DWORD الخاصة بـ HKEY_CURRENT_USER\SOFTWARE\7-Zip\Options\WriteZoneIdExtract على 1.
بالنسبة لواجهة سطر الأوامر في 7-Zip (CLI)، يلزم المفتاح -snz لنقل MOTW بغض النظر عن الخيار أعلاه.
*2: وفقًا لـوثيقة Bandizip، ينقل Bandizip MOTW إلى الملفات ذات الامتدادات التالية:
سبق أن اختبرت Bandizip بملف أرشيف ZIP يحتوي على ملفات نصية فقط، وأسأت الفهم وظننت أن Bandizip لا ينقل MOTW.
*3: فعّلت NanaZip نقل MOTW افتراضيًا منذ الإصدار 6.0 Preview 1، ويمكنك تهيئته عبر خيار "Propagate Zone Id stream" ضمن "Options" -> "Integration" في واجهة NanaZip الرسومية (GUI).
عند ضبطه على "For unsafe files"، تنقل NanaZip MOTW إلى الملفات ذات الامتدادات التالية:
تدعم NanaZip سياسات على مستوى النظام عبر السجل (Registry). تتجاوز هذه السياسات إعدادات المستخدم.
*4: قدّم WinRAR 7.0 خيار "Propagate Mark of the Web". يمكنك الاختيار من القيم التالية:
الخيار مدعوم فقط في واجهة WinRAR الرسومية (GUI). لا تنقل واجهة سطر الأوامر في WinRAR (CLI) MOTW بغض النظر عن الخيار.
القيمة الافتراضية هي "For executable and office files"، وينقل WinRAR MOTW إلى الملفات ذات الامتدادات التالية:
عند ضبط الخيار على "For office files"، ينقل WinRAR MOTW إلى الملفات ذات الامتدادات التالية:
يمكنك تحديد امتدادات الملفات عند ضبط الخيار على "For user defined types".
*5: قدّم الإصدار 4.6 من IZArc خيار "Propagate Mark of the Web"، وهو مُفعّل افتراضيًا. ومع ذلك، يبدو أن IZArc لا ينقل MOTW بغض النظر عن الخيار.
في هذه الأمثلة، تم تعيين MOTW يدويًا لملف أرشيف ZIP باسم motw-test.zip باستخدام Set-MOTW.ps1، ثم تم عرض MOTW لملف مستخرج باستخدام Get-MOTW.ps1. السكربتان Set-MOTW.ps1 وGet-MOTW.ps1 متاحان في مستودع PS-MOTW الخاص بي.
MOTW لملف مستخرج باستخدام Windows Explorer أو WinZip (باستثناء الإصدار 28.0):
MOTW لملف مستخرج باستخدام 7-Zip أو Bandizip أو File Compact أو NanaZip أو PeaZip:
MOTW لملف مستخرج باستخدام CubeICE أو Explzh أو TC4Shell أو WinRAR:
MOTW لملف مستخرج باستخدام Total Commander:
يرجى الاطلاع على مقالات المدونات التالية:
هذه المقالات مفيدة جدًا لفهم هذا المصطلح.
يرجى تقديم نتيجة اختبارك عبر Issues أو Pull requests. ولأنني ياباني، فإن جدول المقارنة يحتوي على بعض برامج الضغط اليابانية التي قد لا تعرفها.
يرجى الاطلاع على تفاصيل حول Mark-of-the-Web (MOTW). فهو يقارن سلوك أداة فك الضغط المدمجة في Windows مع 7-zip. يمكنك اختبار برنامج الضغط المفضل لديك بطريقة مشابهة.
لقد أنشأت PS-MOTW، وهي سكربتات PowerShell لتعيين / عرض / إزالة MOTW يدويًا. يمكنك استخدامها لاختبار برامج الضغط.
سيتم حظر وحدات الماكرو القادمة من الإنترنت افتراضيًا في Office
https://docs.microsoft.com/en-us/deployoffice/security/internet-macros-blocked
تفاصيل حول Mark-of-the-Web (MOTW)
https://nolongerset.com/mark-of-the-web-details/
التنزيلات وMark-of-the-Web
https://textslashplain.com/2016/04/04/downloads-and-the-mark-of-the-web/
Mark-of-the-Web من منظور الفريق الأحمر
https://outflank.nl/blog/2020/03/30/mark-of-the-web-from-a-red-teams-perspective/
مخاطر ملفات VHD وVHDX
https://insights.sei.cmu.edu/blog/the-dangers-of-vhd-and-vhdx-files/
إبطال ضوابط الثقة: تجاوز Mark-of-the-Web
https://attack.mitre.org/techniques/T1553/005/
Nobutaka Mantani (@nmantani)
| الاسم | الإصدار المُختبَر | الترخيص | نقل MOTW | مُفعَّل افتراضيًا | ملاحظة |
|---|
| وظيفة "Extract all" المدمجة في Windows Explorer | Windows 11 25H2 | مملوك | نعم ✔️ | نعم ✔️ | |
| 7-Zip | 26.02 | GNU LGPL | نعم ✔️ | لا ❌ *1 | |
| Bandizip | Standard Edition 7.45 | برنامج مجاني | نعم ✔️ | نعم ✔️ | فقط لامتدادات ملفات محددة *2 |
| CubeICE | 3.6.1 | برنامج مجاني / مملوك | نعم ✔️ | نعم ✔️ | |
| Explzh | 10.01 | مملوك للاستخدام التجاري | نعم ✔️ | نعم ✔️ | |
| File Compact | 8.00 | مملوك | نعم ✔️ | نعم ✔️ | |
| NanaZip | 6.5.1767.0 | MIT | نعم ✔️ | نعم ✔️ | قابل للتهيئة لنقل MOTW لامتدادات ملفات محددة *3 |
| PeaZip | 11.2.0 | GNU LGPL | نعم ✔️ | نعم ✔️ | |
| TC4Shell | 21.3.0 (نسخة تجريبية) | مملوك | نعم ✔️ | نعم ✔️ | |
| Total Commander | 11.58 (نسخة تجريبية) | مملوك | نعم ✔️ | نعم ✔️ | |
| WinRAR | 7.23 (نسخة تجريبية) | مملوك | نعم ✔️ | نعم ✔️ | افتراضيًا فقط لامتدادات ملفات محددة *4 |
| WinZip | 77.0 (نسخة تجريبية) | مملوك | نعم ✔️ | نعم ✔️ | |
| Ashampoo ZIP Free | 1.0.7 | برنامج مجاني (يتطلب التسجيل) | لا ❌ | ||
| CAM UnZip | 5.25.4.0 | مملوك للاستخدام التجاري | لا ❌ | ||
| cmdlet Expand-Archive الخاص بـ PowerShell | 7.6.4 | MIT | لا ❌ | ||
| Express Zip | 11.28 | مملوك للاستخدام التجاري | لا ❌ | ||
| IZArc | 4.6 | برنامج مجاني | لا ❌ | على الرغم من توفر خيار "Propagate Mark of the Web" *5 | |
| LhaForge | 2.0.1 | MIT | لا ❌ | ||
| Lhaplus | 1.74 | برنامج مجاني | لا ❌ | ||
| PowerArchiver | 22.10.02 (نسخة تجريبية) | مملوك | لا ❌ | ||
| StuffIt Expander | 15.0.8 | برنامج مجاني | لا ❌ | ||
| tar.exe (bsdtar) الخاص بـ Windows 11 | 3.8.4 | BSD 2-clause | لا ❌ | ||
| Universal Extractor 2 | 2.0.0 RC 3 | GNU GPLv2 | لا ❌ | ||
| ZipGenious | 6.3.2.3116 | برنامج مجاني | لا ❌ | ||
| Zipware | 1.6 | برنامج مجاني | لا ❌ |
| الاسم | الإصدار المُختبَر | سلوك نقل MOTW |
|---|
| وظيفة "Extract all" المدمجة في Windows Explorer | Windows 11 25H2 |
|
| 7-Zip | 26.02 |
|
| Bandizip | Standard Edition 7.45 |
|
| CubeICE | 3.6.1 |
|
| Explzh | 10.01 |
|
| File Compact | 8.00 |
|
| NanaZip | 6.5.1767.0 |
|
| PeaZip | 11.2.0 |
|
| TC4Shell | 21.3.0 (نسخة تجريبية) |
|
| Total Commander | 11.58 (نسخة تجريبية) |
|
| WinRAR | 7.23 (نسخة تجريبية) |
|
| WinZip | 77.0 (نسخة تجريبية) |
|
يرجى تقديم التفاصيل عبر Issues أو الإصلاح عبر Pull requests. وسأكون سعيدًا بتصحيحها.
نعم. إذا كان تنسيق ملف صورة القرص لا يدعم NTFS alternate data stream، فلن يتم تعيين MOTW للملفات الموجودة داخل ملف صورة القرص. يُرجى الاطلاع أيضًا على ما يلي:
تحديث بتاريخ 11 أبريل 2022:
وفقًا لمقالة المدونة .ISO Files With Office Maldocs & Protected View in Office 2019 and 2021 بقلم Didier Stevens (@DidierStevens)، يستخدم Office 2019 و2021 العرض المحمي لفتح مستندات Office المخزنة داخل ملف ISO مع MOTW. تم تقديم هذا السلوك في أغسطس 2021.
تحديث بتاريخ 30 نوفمبر 2022:
وفقًا لـالتغريدة بقلم Bill Demirkapi (@BillDemirkapi)، أصلحت Microsoft معالجة MOTW لملفات حاويات الأقراص الافتراضية مثل ISO وVHD على Windows من خلال التحديثات الأمنية الصادرة في 8 نوفمبر 2022. عندما تفتح التطبيقات ملفات داخل ملف حاوية قرص افتراضية تم تنزيله من الإنترنت، سترث الملفات MOTW الخاص بملف حاوية القرص الافتراضية.
