nmantani/archiver-motw-support-comparisonVergleicht die Unterstützung von Windows-Archivierern bei der Weitergabe des Mark of the Web und hilft Teams zu bewerten, welche Tools MOTW beibehalten und die Zustellung makrobasierter Malware abmildern.
Englisch | Japanisch
Am 3. März 2022 kündigte Microsoft an, dass das Standardverhalten von Office-Anwendungen unter Windows geändert wird, um Makros in Dateien aus dem Internet (z. B. E-Mail-Anhänge) zu blockieren.
Ein Auszug aus der Ankündigung:
VBA-Makros sind ein häufiger Weg, über den böswillige Akteure Zugang erhalten, um Malware und Ransomware einzusetzen. Um die Sicherheit in Office zu verbessern, ändern wir daher das Standardverhalten von Office-Anwendungen, um Makros in Dateien aus dem Internet zu blockieren.
...
Diese Änderung betrifft nur Office auf Geräten mit Windows und nur die folgenden Anwendungen: Access, Excel, PowerPoint, Visio und Word.
Das Rollout der Änderung beginnt mit Version 2203, zunächst im Current Channel (Preview) Anfang April 2022. Später wird die Änderung in den anderen Update-Kanälen verfügbar sein, z. B. im Current Channel und im Monthly Enterprise Channel.
Dies ist eine große Verbesserung der Abwehr gegen bösartige Office-Dokumentdateien.
Laut der Ankündigung wird anhand des MOTW-Attributs (Mark of the Web) der Datei bestimmt, ob Makros blockiert werden oder nicht. Anwendungen wie Webbrowser und E-Mail-Clients setzen MOTW auf heruntergeladene Dateien und E-Mail-Anhänge, die aus dem Internet stammen. MOTW wird im NTFS-Alternativdatenstrom Zone.Identifier gespeichert.
Um Makros bösartiger Office-Dokumentdateien zu blockieren, die aus Archivdateien extrahiert werden, muss eine Archivierungssoftware MOTW an extrahierte Dateien weitergeben, wenn eine Archivdatei MOTW besitzt. Wenn die Archivierungssoftware MOTW nicht weitergibt, können bösartige Office-Dokumente in Archivdateien die Blockierung umgehen.
Es stellte sich die Frage: „Welche Archivierungssoftware kann MOTW an extrahierte Dateien weitergeben?" Daraufhin habe ich einige Archivierungssoftware getestet und die Ergebnisse zusammengefasst.
| Name | Getestete Version | Lizenz | MOTW-Weitergabe | Standardmäßig aktiviert | Anmerkung |
|---|---|---|---|---|---|
| Integrierte Funktion „Alle extrahieren" des Windows-Explorers | Windows 11 25H2 | proprietär | Ja ✔️ | Ja ✔️ | |
| 7-Zip | 26.02 | GNU LGPL | Ja ✔️ | Nein ❌ *1 | |
| Bandizip | Standard Edition 7.45 | Freeware | Ja ✔️ | Ja ✔️ | Nur für bestimmte Dateierweiterungen *2 |
| CubeICE | 3.6.1 | Freeware / proprietär | Ja ✔️ | Ja ✔️ | |
| Explzh | 10.01 | proprietär für die kommerzielle Nutzung | Ja ✔️ | Ja ✔️ | |
| File Compact | 8.00 | proprietär | Ja ✔️ | Ja ✔️ | |
| NanaZip | 6.5.1767.0 | MIT | Ja ✔️ | Ja ✔️ | Konfigurierbar, um MOTW für bestimmte Dateierweiterungen weiterzugeben *3 |
| PeaZip | 11.2.0 | GNU LGPL | Ja ✔️ | Ja ✔️ | |
| TC4Shell | 21.3.0 (Testversion) | proprietär | Ja ✔️ | Ja ✔️ | |
| Total Commander | 11.58 (Testversion) | proprietär | Ja ✔️ | Ja ✔️ | |
| WinRAR | 7.23 (Testversion) | proprietär | Ja ✔️ | Ja ✔️ | Standardmäßig nur für bestimmte Dateierweiterungen *4 |
| WinZip | 77.0 (Testversion) | proprietär | Ja ✔️ | Ja ✔️ | |
| Ashampoo ZIP Free | 1.0.7 | Freeware (Registrierung erforderlich) | Nein ❌ | ||
| CAM UnZip | 5.25.4.0 | proprietär für die kommerzielle Nutzung | Nein ❌ | ||
| Expand-Archive-Cmdlet von PowerShell | 7.6.4 | MIT | Nein ❌ | ||
| Express Zip | 11.28 | proprietär für die kommerzielle Nutzung | Nein ❌ | ||
| IZArc | 4.6 | Freeware | Nein ❌ | Trotz der Verfügbarkeit der Option „Propagate Mark of the Web" *5 | |
| LhaForge | 2.0.1 | MIT | Nein ❌ | ||
| Lhaplus | 1.74 | Freeware | Nein ❌ | ||
| PowerArchiver | 22.10.02 (Testversion) | proprietär | Nein ❌ | ||
| StuffIt Expander | 15.0.8 | Freeware | Nein ❌ | ||
| tar.exe (bsdtar) von Windows 11 | 3.8.4 | BSD 2-clause | Nein ❌ | ||
| Universal Extractor 2 | 2.0.0 RC 3 | GNU GPLv2 | Nein ❌ | ||
| ZipGenious | 6.3.2.3116 | Freeware | Nein ❌ | ||
| Zipware | 1.6 | Freeware | Nein ❌ |
*1: Obwohl 7-Zip die MOTW-Weitergabe seit Version 22.00 unterstützt, ist sie standardmäßig deaktiviert. Sie können sie für die 7-Zip-GUI über die Option „Propagate Zone Id stream:" unter „Extras" -> „Optionen" -> „7-Zip" des 7-Zip-Dateimanagers aktivieren.
Wenn Sie die Option auf „Yes" setzen, gibt 7-Zip MOTW an alle extrahierten Dateien weiter. Wenn Sie sie auf „For Office files" setzen, gibt 7-Zip MOTW an Dateien mit den folgenden Dateierweiterungen weiter:
Sie können die MOTW-Weitergabe auch aktivieren, indem Sie den Registrierungswert HKEY_CURRENT_USER\SOFTWARE\7-Zip\Options\WriteZoneIdExtract als DWORD auf 1 setzen.
Für die 7-Zip-CLI ist der Schalter -snz erforderlich, um MOTW unabhängig von der obigen Option weiterzugeben.
*2: Laut der Dokumentation von Bandizip gibt Bandizip MOTW an Dateien mit den folgenden Dateierweiterungen weiter:
Ich habe Bandizip zuvor mit einer ZIP-Archivdatei getestet, die nur Textdateien enthielt, und dabei fälschlicherweise angenommen, dass Bandizip MOTW nicht weitergibt.
*3: NanaZip hat die MOTW-Weitergabe seit Version 6.0 Preview 1 standardmäßig aktiviert. Sie können sie über die Option „Propagate Zone Id stream" unter „Optionen" -> „Integration" der NanaZip-GUI konfigurieren.
Wenn Sie sie auf „For unsafe files" setzen, gibt NanaZip MOTW an Dateien mit den folgenden Dateierweiterungen weiter:
NanaZip unterstützt systemweite Richtlinien über die Registrierung. Diese Richtlinien überschreiben die Benutzereinstellungen.
