nmantani/archiver-motw-support-comparisonCompara la compatibilidad de los archivadores de Windows con la propagación de Mark of the Web, lo que ayuda a los equipos a evaluar qué herramientas preservan MOTW y mitigan la entrega de malware basado en macros.
Inglés | Japonés
El 3 de marzo de 2022, Microsoft anunció que el comportamiento predeterminado de las aplicaciones de Office en Windows cambiará para bloquear las macros en archivos procedentes de Internet (como los adjuntos de correo electrónico).
Un extracto del anuncio:
Las macros de VBA son una forma habitual en la que los actores malintencionados obtienen acceso para distribuir malware y ransomware. Por lo tanto, para ayudar a mejorar la seguridad en Office, estamos cambiando el comportamiento predeterminado de las aplicaciones de Office para bloquear las macros en archivos procedentes de Internet.
...
Este cambio solo afecta a Office en dispositivos que ejecutan Windows y solo afecta a las siguientes aplicaciones: Access, Excel, PowerPoint, Visio y Word.
El cambio comenzará a implementarse en la versión 2203, empezando por Current Channel (Preview) a principios de abril de 2022. Más adelante, el cambio estará disponible en los otros canales de actualización, como Current Channel y Monthly Enterprise Channel.
Esto supone una gran mejora de la defensa contra archivos de documento de Office maliciosos.
Según el anuncio, si se bloquean o no las macros se determina en función del atributo MOTW (Mark of the Web) del archivo. Aplicaciones como los navegadores web y los clientes de correo electrónico añaden MOTW a los archivos descargados y a los adjuntos de correo que provienen de Internet. MOTW se almacena en el flujo de datos alternativo de NTFS Zone.Identifier.
Para bloquear las macros de archivos de documento de Office maliciosos que se extraen de archivos comprimidos, un software de archivado debe propagar MOTW a los archivos extraídos cuando el archivo comprimido tiene MOTW. Si el software de archivado no propaga MOTW, los documentos de Office maliciosos contenidos en archivos comprimidos pueden eludir el bloqueo.
Surgió una pregunta: "¿Qué software de archivado puede propagar MOTW a los archivos extraídos?" Así que probé algunos software de archivado y resumí el resultado.
| Nombre | Versión probada | Licencia | Propagación de MOTW | Habilitado por defecto | Nota |
|---|---|---|---|---|---|
| "Extraer todo" (función integrada del Explorador de Windows) | Windows 11 25H2 | propietario | Sí ✔️ | Sí ✔️ | |
| 7-Zip | 26.02 | GNU LGPL | Sí ✔️ | No ❌ *1 | |
| Bandizip | Standard Edition 7.45 | freeware | Sí ✔️ | Sí ✔️ | Solo para extensiones de archivo específicas *2 |
| CubeICE | 3.6.1 | freeware / propietario | Sí ✔️ | Sí ✔️ | |
| Explzh | 10.01 | propietario para uso comercial | Sí ✔️ | Sí ✔️ | |
| File Compact | 8.00 | propietario | Sí ✔️ | Sí ✔️ | |
| NanaZip | 6.5.1767.0 | MIT | Sí ✔️ | Sí ✔️ | Configurable para propagar a extensiones de archivo específicas *3 |
| PeaZip | 11.2.0 | GNU LGPL | Sí ✔️ | Sí ✔️ | |
| TC4Shell | 21.3.0 (prueba) | propietario | Sí ✔️ | Sí ✔️ | |
| Total Commander | 11.58 (prueba) | propietario | Sí ✔️ | Sí ✔️ | |
| WinRAR | 7.23 (prueba) | propietario | Sí ✔️ | Sí ✔️ | Solo para extensiones de archivo específicas por defecto *4 |
| WinZip | 77.0 (prueba) | propietario | Sí ✔️ | Sí ✔️ | |
| Ashampoo ZIP Free | 1.0.7 | freeware (se requiere registro) | No ❌ | ||
| CAM UnZip | 5.25.4.0 | propietario para uso comercial | No ❌ | ||
| Cmdlet Expand-Archive de PowerShell | 7.6.4 | MIT | No ❌ | ||
| Express Zip | 11.28 | propietario para uso comercial | No ❌ | ||
| IZArc | 4.6 | freeware | No ❌ | A pesar de la disponibilidad de la opción "Propagate Mark of the Web" *5 | |
| LhaForge | 2.0.1 | MIT | No ❌ | ||
| Lhaplus | 1.74 | freeware | No ❌ | ||
| PowerArchiver | 22.10.02 (prueba) | propietario | No ❌ | ||
| StuffIt Expander | 15.0.8 | freeware | No ❌ | ||
| tar.exe (bsdtar) de Windows 11 | 3.8.4 | BSD de 2 cláusulas | No ❌ | ||
| Universal Extractor 2 | 2.0.0 RC 3 | GNU GPLv2 | No ❌ | ||
| ZipGenious | 6.3.2.3116 | freeware | No ❌ | ||
| Zipware | 1.6 | freeware | No ❌ |
*1: Aunque 7-Zip admite la propagación de MOTW desde la versión 22.00, está deshabilitada por defecto. Puede habilitarla para la interfaz gráfica de 7-Zip con la opción "Propagate Zone Id stream:" en "Tools" -> "Options" -> "7-Zip" del Administrador de archivos de 7-Zip.
Cuando establece la opción en Yes, 7-Zip propaga MOTW a todos los archivos extraídos. Cuando la establece en "For Office files", 7-Zip propaga MOTW a los archivos con las siguientes extensiones:
También puede habilitar la propagación de MOTW estableciendo el valor DWORD HKEY_CURRENT_USER\SOFTWARE\7-Zip\Options\WriteZoneIdExtract en 1.
Para la CLI de 7-Zip, se requiere el conmutador -snz para propagar MOTW independientemente de la opción anterior.
*2: Según el documento de Bandizip, Bandizip propaga MOTW a los archivos con las siguientes extensiones:
Anteriormente probé Bandizip con un archivo ZIP que contenía solo archivos de texto y malinterpreté que Bandizip no propaga MOTW.
*3: NanaZip ha habilitado la propagación de MOTW por defecto desde la versión 6.0 Preview 1. Puede configurarla con la opción "Propagate Zone Id stream" en "Options" -> "Integration" de la GUI de NanaZip.
Cuando la establece en "For unsafe files", NanaZip propaga MOTW a los archivos con las siguientes extensiones:
