nmantani/archiver-motw-support-comparisonCompara la compatibilidad de los archivadores de Windows con la propagación de Mark of the Web, lo que ayuda a los equipos a evaluar qué herramientas preservan MOTW y mitigan la entrega de malware basado en macros.
Inglés | Japonés
El 3 de marzo de 2022, Microsoft anunció que el comportamiento predeterminado de las aplicaciones de Office en Windows cambiará para bloquear las macros en archivos procedentes de Internet (como los adjuntos de correo electrónico).
Un extracto del anuncio:
Las macros de VBA son una forma habitual en la que los actores malintencionados obtienen acceso para distribuir malware y ransomware. Por lo tanto, para ayudar a mejorar la seguridad en Office, estamos cambiando el comportamiento predeterminado de las aplicaciones de Office para bloquear las macros en archivos procedentes de Internet.
...
Este cambio solo afecta a Office en dispositivos que ejecutan Windows y solo afecta a las siguientes aplicaciones: Access, Excel, PowerPoint, Visio y Word.
El cambio comenzará a implementarse en la versión 2203, empezando por Current Channel (Preview) a principios de abril de 2022. Más adelante, el cambio estará disponible en los otros canales de actualización, como Current Channel y Monthly Enterprise Channel.
Esto supone una gran mejora de la defensa contra archivos de documento de Office maliciosos.
Según el anuncio, si se bloquean o no las macros se determina en función del atributo MOTW (Mark of the Web) del archivo. Aplicaciones como los navegadores web y los clientes de correo electrónico añaden MOTW a los archivos descargados y a los adjuntos de correo que provienen de Internet. MOTW se almacena en el flujo de datos alternativo de NTFS Zone.Identifier.
Para bloquear las macros de archivos de documento de Office maliciosos que se extraen de archivos comprimidos, un software de archivado debe propagar MOTW a los archivos extraídos cuando el archivo comprimido tiene MOTW. Si el software de archivado no propaga MOTW, los documentos de Office maliciosos contenidos en archivos comprimidos pueden eludir el bloqueo.
Surgió una pregunta: "¿Qué software de archivado puede propagar MOTW a los archivos extraídos?" Así que probé algunos software de archivado y resumí el resultado.
*1: Aunque 7-Zip admite la propagación de MOTW desde la versión 22.00, está deshabilitada por defecto. Puede habilitarla para la interfaz gráfica de 7-Zip con la opción "Propagate Zone Id stream:" en "Tools" -> "Options" -> "7-Zip" del Administrador de archivos de 7-Zip.
Cuando establece la opción en Yes, 7-Zip propaga MOTW a todos los archivos extraídos. Cuando la establece en "For Office files", 7-Zip propaga MOTW a los archivos con las siguientes extensiones:
También puede habilitar la propagación de MOTW estableciendo el valor DWORD HKEY_CURRENT_USER\SOFTWARE\7-Zip\Options\WriteZoneIdExtract en 1.
Para la CLI de 7-Zip, se requiere el conmutador -snz para propagar MOTW independientemente de la opción anterior.
*2: Según el documento de Bandizip, Bandizip propaga MOTW a los archivos con las siguientes extensiones:
Anteriormente probé Bandizip con un archivo ZIP que contenía solo archivos de texto y malinterpreté que Bandizip no propaga MOTW.
*3: NanaZip ha habilitado la propagación de MOTW por defecto desde la versión 6.0 Preview 1. Puede configurarla con la opción "Propagate Zone Id stream" en "Options" -> "Integration" de la GUI de NanaZip.
Cuando la establece en "For unsafe files", NanaZip propaga MOTW a los archivos con las siguientes extensiones:
NanaZip admite directivas de todo el sistema mediante el registro. Estas directivas anulan la configuración del usuario.
*4: WinRAR 7.0 introdujo la opción "Propagate Mark of the Web". Puede elegir los siguientes valores:
La opción solo es compatible con la GUI de WinRAR. La CLI de WinRAR no propaga MOTW independientemente de la opción.
El valor predeterminado es "For executable and office files" y WinRAR propaga MOTW a los archivos con las siguientes extensiones:
Cuando establece la opción en "For office files", WinRAR propaga MOTW a los archivos con las siguientes extensiones:
Puede especificar extensiones de archivo cuando establece la opción en "For user defined types".
*5: La versión 4.6 de IZArc introdujo la opción "Propagate Mark of the Web" y está habilitada por defecto. Sin embargo, parece que IZArc no propaga MOTW independientemente de la opción.
En estos ejemplos, se estableció manualmente MOTW en un archivo ZIP motw-test.zip con Set-MOTW.ps1 y luego se muestra el MOTW de un archivo extraído con Get-MOTW.ps1. Set-MOTW.ps1 y Get-MOTW.ps1 están disponibles en mi repositorio PS-MOTW.
MOTW de un archivo extraído con Windows Explorer o WinZip (excepto la versión 28.0):
MOTW de un archivo extraído con 7-Zip, Bandizip, File Compact, NanaZip o PeaZip:
MOTW de un archivo extraído con CubeICE, Explzh, TC4Shell o WinRAR:
MOTW de un archivo extraído con Total Commander:
Consulte estos artículos de blog:
Son muy útiles para entenderlo.
Proporcione su resultado de prueba desde Issues o Pull requests. Como soy japonés, la tabla comparativa contiene algunos software de archivado japoneses que quizás no conozca.
Consulte Details about the Mark-of-the-Web (MOTW). Compara el comportamiento de la utilidad de descompresión integrada de Windows con 7-zip. Puede probar su software de archivado favorito de forma similar.
Creé PS-MOTW, unos scripts de PowerShell para establecer, mostrar o eliminar manualmente MOTW. Puede usarlos para probar software de archivado.
Macros from the internet will be blocked by default in Office
https://docs.microsoft.com/en-us/deployoffice/security/internet-macros-blocked
Details about the Mark-of-the-Web (MOTW)
https://nolongerset.com/mark-of-the-web-details/
Downloads and the Mark-of-the-Web
https://textslashplain.com/2016/04/04/downloads-and-the-mark-of-the-web/
Mark-of-the-Web from a red team’s perspective
https://outflank.nl/blog/2020/03/30/mark-of-the-web-from-a-red-teams-perspective/
The Dangers of VHD and VHDX Files
https://insights.sei.cmu.edu/blog/the-dangers-of-vhd-and-vhdx-files/
Subvert Trust Controls: Mark-of-the-Web Bypass
https://attack.mitre.org/techniques/T1553/005/
Nobutaka Mantani (@nmantani)
| Nombre | Versión probada | Licencia | Propagación de MOTW | Habilitado por defecto | Nota |
|---|
| "Extraer todo" (función integrada del Explorador de Windows) | Windows 11 25H2 | propietario | Sí ✔️ | Sí ✔️ | |
| 7-Zip | 26.02 | GNU LGPL | Sí ✔️ | No ❌ *1 | |
| Bandizip | Standard Edition 7.45 | freeware | Sí ✔️ | Sí ✔️ | Solo para extensiones de archivo específicas *2 |
| CubeICE | 3.6.1 | freeware / propietario | Sí ✔️ | Sí ✔️ | |
| Explzh | 10.01 | propietario para uso comercial | Sí ✔️ | Sí ✔️ | |
| File Compact | 8.00 | propietario | Sí ✔️ | Sí ✔️ | |
| NanaZip | 6.5.1767.0 | MIT | Sí ✔️ | Sí ✔️ | Configurable para propagar a extensiones de archivo específicas *3 |
| PeaZip | 11.2.0 | GNU LGPL | Sí ✔️ | Sí ✔️ | |
| TC4Shell | 21.3.0 (prueba) | propietario | Sí ✔️ | Sí ✔️ | |
| Total Commander | 11.58 (prueba) | propietario | Sí ✔️ | Sí ✔️ | |
| WinRAR | 7.23 (prueba) | propietario | Sí ✔️ | Sí ✔️ | Solo para extensiones de archivo específicas por defecto *4 |
| WinZip | 77.0 (prueba) | propietario | Sí ✔️ | Sí ✔️ | |
| Ashampoo ZIP Free | 1.0.7 | freeware (se requiere registro) | No ❌ | ||
| CAM UnZip | 5.25.4.0 | propietario para uso comercial | No ❌ | ||
| Cmdlet Expand-Archive de PowerShell | 7.6.4 | MIT | No ❌ | ||
| Express Zip | 11.28 | propietario para uso comercial | No ❌ | ||
| IZArc | 4.6 | freeware | No ❌ | A pesar de la disponibilidad de la opción "Propagate Mark of the Web" *5 | |
| LhaForge | 2.0.1 | MIT | No ❌ | ||
| Lhaplus | 1.74 | freeware | No ❌ | ||
| PowerArchiver | 22.10.02 (prueba) | propietario | No ❌ | ||
| StuffIt Expander | 15.0.8 | freeware | No ❌ | ||
| tar.exe (bsdtar) de Windows 11 | 3.8.4 | BSD de 2 cláusulas | No ❌ | ||
| Universal Extractor 2 | 2.0.0 RC 3 | GNU GPLv2 | No ❌ | ||
| ZipGenious | 6.3.2.3116 | freeware | No ❌ | ||
| Zipware | 1.6 | freeware | No ❌ |
| Nombre | Versión probada | Comportamiento de propagación de MOTW |
|---|
| "Extraer todo" (función integrada del Explorador de Windows) | Windows 11 25H2 |
|
| 7-Zip | 26.02 |
|
| Bandizip | Standard Edition 7.45 |
|
| CubeICE | 3.6.1 |
|
| Explzh | 10.01 |
|
| File Compact | 8.00 |
|
| NanaZip | 6.5.1767.0 |
|
| PeaZip | 11.2.0 |
|
| TC4Shell | 21.3.0 (prueba) |
|
| Total Commander | 11.58 (prueba) |
|
| WinRAR | 7.23 (prueba) |
|
| WinZip | 77.0 (prueba) |
|
Proporcione los detalles desde Issues o la corrección desde Pull requests. Estaré encantado de corregirla.
Sí. Si el formato de archivo de un archivo de imagen de disco no admite el flujo de datos alternativo de NTFS, MOTW no se establece para los archivos dentro del archivo de imagen de disco. Consulte también lo siguiente:
Actualización del 11 de abril de 2022:
Según el artículo de blog .ISO Files With Office Maldocs & Protected View in Office 2019 and 2021 de Didier Stevens (@DidierStevens), Office 2019 y 2021 usan la vista protegida para abrir documentos de Office almacenados dentro de un archivo ISO con MOTW. Este comportamiento se introdujo en agosto de 2021.
Actualización del 30 de noviembre de 2022:
Según el tuit de Bill Demirkapi (@BillDemirkapi), Microsoft corrigió el manejo de MOTW para archivos contenedores de disco virtual como ISO y VHD en Windows con las actualizaciones de seguridad publicadas el 8 de noviembre de 2022. Cuando las aplicaciones abren archivos dentro de un archivo contenedor de disco virtual descargado de Internet, los archivos heredarán el MOTW del archivo contenedor de disco virtual.
