nmantani/archiver-motw-support-comparisonVergleicht die Unterstützung von Windows-Archivierern bei der Weitergabe des Mark of the Web und hilft Teams zu bewerten, welche Tools MOTW beibehalten und die Zustellung makrobasierter Malware abmildern.
Englisch | Japanisch
Am 3. März 2022 kündigte Microsoft an, dass das Standardverhalten von Office-Anwendungen unter Windows geändert wird, um Makros in Dateien aus dem Internet (z. B. E-Mail-Anhänge) zu blockieren.
Ein Auszug aus der Ankündigung:
VBA-Makros sind ein häufiger Weg, über den böswillige Akteure Zugang erhalten, um Malware und Ransomware einzusetzen. Um die Sicherheit in Office zu verbessern, ändern wir daher das Standardverhalten von Office-Anwendungen, um Makros in Dateien aus dem Internet zu blockieren.
...
Diese Änderung betrifft nur Office auf Geräten mit Windows und nur die folgenden Anwendungen: Access, Excel, PowerPoint, Visio und Word.
Das Rollout der Änderung beginnt mit Version 2203, zunächst im Current Channel (Preview) Anfang April 2022. Später wird die Änderung in den anderen Update-Kanälen verfügbar sein, z. B. im Current Channel und im Monthly Enterprise Channel.
Dies ist eine große Verbesserung der Abwehr gegen bösartige Office-Dokumentdateien.
Laut der Ankündigung wird anhand des MOTW-Attributs (Mark of the Web) der Datei bestimmt, ob Makros blockiert werden oder nicht. Anwendungen wie Webbrowser und E-Mail-Clients setzen MOTW auf heruntergeladene Dateien und E-Mail-Anhänge, die aus dem Internet stammen. MOTW wird im NTFS-Alternativdatenstrom Zone.Identifier gespeichert.
Um Makros bösartiger Office-Dokumentdateien zu blockieren, die aus Archivdateien extrahiert werden, muss eine Archivierungssoftware MOTW an extrahierte Dateien weitergeben, wenn eine Archivdatei MOTW besitzt. Wenn die Archivierungssoftware MOTW nicht weitergibt, können bösartige Office-Dokumente in Archivdateien die Blockierung umgehen.
Es stellte sich die Frage: „Welche Archivierungssoftware kann MOTW an extrahierte Dateien weitergeben?" Daraufhin habe ich einige Archivierungssoftware getestet und die Ergebnisse zusammengefasst.
*1: Obwohl 7-Zip die MOTW-Weitergabe seit Version 22.00 unterstützt, ist sie standardmäßig deaktiviert. Sie können sie für die 7-Zip-GUI über die Option „Propagate Zone Id stream:" unter „Extras" -> „Optionen" -> „7-Zip" des 7-Zip-Dateimanagers aktivieren.
Wenn Sie die Option auf „Yes" setzen, gibt 7-Zip MOTW an alle extrahierten Dateien weiter. Wenn Sie sie auf „For Office files" setzen, gibt 7-Zip MOTW an Dateien mit den folgenden Dateierweiterungen weiter:
Sie können die MOTW-Weitergabe auch aktivieren, indem Sie den Registrierungswert HKEY_CURRENT_USER\SOFTWARE\7-Zip\Options\WriteZoneIdExtract als DWORD auf 1 setzen.
Für die 7-Zip-CLI ist der Schalter -snz erforderlich, um MOTW unabhängig von der obigen Option weiterzugeben.
*2: Laut der Dokumentation von Bandizip gibt Bandizip MOTW an Dateien mit den folgenden Dateierweiterungen weiter:
Ich habe Bandizip zuvor mit einer ZIP-Archivdatei getestet, die nur Textdateien enthielt, und dabei fälschlicherweise angenommen, dass Bandizip MOTW nicht weitergibt.
*3: NanaZip hat die MOTW-Weitergabe seit Version 6.0 Preview 1 standardmäßig aktiviert. Sie können sie über die Option „Propagate Zone Id stream" unter „Optionen" -> „Integration" der NanaZip-GUI konfigurieren.
Wenn Sie sie auf „For unsafe files" setzen, gibt NanaZip MOTW an Dateien mit den folgenden Dateierweiterungen weiter:
NanaZip unterstützt systemweite Richtlinien über die Registrierung. Diese Richtlinien überschreiben die Benutzereinstellungen.
*4: WinRAR 7.0 führte die Option „Propagate Mark of the Web" ein. Sie können die folgenden Werte wählen:
Die Option wird nur von der WinRAR-GUI unterstützt. Die WinRAR-CLI gibt MOTW unabhängig von der Option nicht weiter.
Der Standardwert ist „For executable and office files", und WinRAR gibt MOTW an Dateien mit den folgenden Dateierweiterungen weiter:
Wenn Sie die Option auf „For office files" setzen, gibt WinRAR MOTW an Dateien mit den folgenden Dateierweiterungen weiter:
Sie können Dateierweiterungen angeben, wenn Sie die Option auf „For user defined types" setzen.
*5: IZArc Version 4.6 führte die Option „Propagate Mark of the Web" ein, die standardmäßig aktiviert ist. Es scheint jedoch, dass IZArc MOTW unabhängig von der Option nicht weitergibt.
In diesen Beispielen wurde MOTW manuell mit Set-MOTW.ps1 für eine ZIP-Archivdatei motw-test.zip gesetzt; anschließend wird MOTW einer extrahierten Datei mit Get-MOTW.ps1 angezeigt. Set-MOTW.ps1 und Get-MOTW.ps1 sind in meinem Repository PS-MOTW verfügbar.
MOTW einer Datei, die mit dem Windows-Explorer oder WinZip extrahiert wurde (außer Version 28.0):
MOTW einer Datei, die mit 7-Zip, Bandizip, File Compact, NanaZip oder PeaZip extrahiert wurde:
MOTW einer Datei, die mit CubeICE, Explzh, TC4Shell oder WinRAR extrahiert wurde:
MOTW einer Datei, die mit dem Total Commander extrahiert wurde:
Siehe dazu diese Blog-Artikel:
Sie sind sehr hilfreich, um es zu verstehen.
Bitte teilen Sie Ihr Testergebnis über Issues oder Pull requests mit. Da ich Japaner bin, enthält die Vergleichstabelle einige japanische Archivierungsprogramme, die Sie möglicherweise nicht kennen.
Siehe Details about the Mark-of-the-Web (MOTW). Dort wird das Verhalten des integrierten Windows-Entpackprogramms und von 7-zip verglichen. Sie können Ihre bevorzugte Archivierungssoftware auf ähnliche Weise testen.
Ich habe PS-MOTW erstellt, PowerShell-Skripte zum manuellen Setzen / Anzeigen / Entfernen von MOTW. Sie können es zum Testen von Archivierungssoftware verwenden.
Macros from the internet will be blocked by default in Office
https://docs.microsoft.com/en-us/deployoffice/security/internet-macros-blocked
Details about the Mark-of-the-Web (MOTW)
https://nolongerset.com/mark-of-the-web-details/
Downloads and the Mark-of-the-Web
https://textslashplain.com/2016/04/04/downloads-and-the-mark-of-the-web/
Mark-of-the-Web from a red team's perspective
https://outflank.nl/blog/2020/03/30/mark-of-the-web-from-a-red-teams-perspective/
The Dangers of VHD and VHDX Files
https://insights.sei.cmu.edu/blog/the-dangers-of-vhd-and-vhdx-files/
Subvert Trust Controls: Mark-of-the-Web Bypass
https://attack.mitre.org/techniques/T1553/005/
Nobutaka Mantani (@nmantani)
| Name | Getestete Version | Lizenz | MOTW-Weitergabe | Standardmäßig aktiviert | Anmerkung |
|---|
| Integrierte Funktion „Alle extrahieren" des Windows-Explorers | Windows 11 25H2 | proprietär | Ja ✔️ | Ja ✔️ | |
| 7-Zip | 26.02 | GNU LGPL | Ja ✔️ | Nein ❌ *1 | |
| Bandizip | Standard Edition 7.45 | Freeware | Ja ✔️ | Ja ✔️ | Nur für bestimmte Dateierweiterungen *2 |
| CubeICE | 3.6.1 | Freeware / proprietär | Ja ✔️ | Ja ✔️ | |
| Explzh | 10.01 | proprietär für die kommerzielle Nutzung | Ja ✔️ | Ja ✔️ | |
| File Compact | 8.00 | proprietär | Ja ✔️ | Ja ✔️ | |
| NanaZip | 6.5.1767.0 | MIT | Ja ✔️ | Ja ✔️ | Konfigurierbar, um MOTW für bestimmte Dateierweiterungen weiterzugeben *3 |
| PeaZip | 11.2.0 | GNU LGPL | Ja ✔️ | Ja ✔️ | |
| TC4Shell | 21.3.0 (Testversion) | proprietär | Ja ✔️ | Ja ✔️ | |
| Total Commander | 11.58 (Testversion) | proprietär | Ja ✔️ | Ja ✔️ | |
| WinRAR | 7.23 (Testversion) | proprietär | Ja ✔️ | Ja ✔️ | Standardmäßig nur für bestimmte Dateierweiterungen *4 |
| WinZip | 77.0 (Testversion) | proprietär | Ja ✔️ | Ja ✔️ | |
| Ashampoo ZIP Free | 1.0.7 | Freeware (Registrierung erforderlich) | Nein ❌ | ||
| CAM UnZip | 5.25.4.0 | proprietär für die kommerzielle Nutzung | Nein ❌ | ||
| Expand-Archive-Cmdlet von PowerShell | 7.6.4 | MIT | Nein ❌ | ||
| Express Zip | 11.28 | proprietär für die kommerzielle Nutzung | Nein ❌ | ||
| IZArc | 4.6 | Freeware | Nein ❌ | Trotz der Verfügbarkeit der Option „Propagate Mark of the Web" *5 | |
| LhaForge | 2.0.1 | MIT | Nein ❌ | ||
| Lhaplus | 1.74 | Freeware | Nein ❌ | ||
| PowerArchiver | 22.10.02 (Testversion) | proprietär | Nein ❌ | ||
| StuffIt Expander | 15.0.8 | Freeware | Nein ❌ | ||
| tar.exe (bsdtar) von Windows 11 | 3.8.4 | BSD 2-clause | Nein ❌ | ||
| Universal Extractor 2 | 2.0.0 RC 3 | GNU GPLv2 | Nein ❌ | ||
| ZipGenious | 6.3.2.3116 | Freeware | Nein ❌ | ||
| Zipware | 1.6 | Freeware | Nein ❌ |
| Name | Getestete Version | MOTW-Weitergabeverhalten |
|---|
| Integrierte Funktion „Alle extrahieren" des Windows-Explorers | Windows 11 25H2 |
|
| 7-Zip | 26.02 |
|
| Bandizip | Standard Edition 7.45 |
|
| CubeICE | 3.6.1 |
|
| Explzh | 10.01 |
|
| File Compact | 8.00 |
|
| NanaZip | 6.5.1767.0 |
|
| PeaZip | 11.2.0 |
|
| TC4Shell | 21.3.0 (Testversion) |
|
| Total Commander | 11.58 (Testversion) |
|
| WinRAR | 7.23 (Testversion) |
|
| WinZip | 77.0 (Testversion) |
|
Bitte teilen Sie die Details über Issues oder die Korrektur über Pull requests mit. Ich korrigiere es gerne.
Ja. Wenn das Dateiformat einer Datenträgerabbilddatei den NTFS-Alternativdatenstrom nicht unterstützt, wird MOTW nicht für die Dateien in der Datenträgerabbilddatei gesetzt. Siehe dazu auch Folgendes:
Aktualisierung vom 11. April 2022:
Laut dem Blog-Artikel .ISO Files With Office Maldocs & Protected View in Office 2019 and 2021 von Didier Stevens (@DidierStevens) verwenden Office 2019 und 2021 die geschützte Ansicht, um Office-Dokumente zu öffnen, die in einer ISO-Datei mit MOTW gespeichert sind. Dieses Verhalten wurde im August 2021 eingeführt.
Aktualisierung vom 30. November 2022:
Laut dem Tweet von Bill Demirkapi (@BillDemirkapi) hat Microsoft mit den am 8. November 2022 veröffentlichten Sicherheitsupdates die Behandlung von MOTW für virtuelle Datenträgercontainerdateien wie ISO und VHD unter Windows korrigiert. Wenn Anwendungen Dateien innerhalb einer aus dem Internet heruntergeladenen virtuellen Datenträgercontainerdatei öffnen, erben die Dateien das MOTW der virtuellen Datenträgercontainerdatei.
