nmantani/archiver-motw-support-comparisonCompare la prise en charge des archiveurs Windows pour la propagation du Mark of the Web, aidant les équipes à évaluer quels outils préservent le MOTW et atténuent la livraison de logiciels malveillants à base de macros.
Anglais | Japonais
Le 3 mars 2022, Microsoft a annoncé que le comportement par défaut des applications Office sous Windows sera modifié pour bloquer les macros contenues dans les fichiers provenant d'Internet (comme les pièces jointes des e-mails).
Extrait de l'annonce :
Les macros VBA sont un moyen courant pour les acteurs malveillants d'accéder aux systèmes afin de déployer des malwares et des ransomwares. Par conséquent, pour contribuer à améliorer la sécurité d'Office, nous modifions le comportement par défaut des applications Office afin de bloquer les macros contenues dans les fichiers provenant d'Internet.
...
Cette modification n'affecte qu'Office sur les appareils exécutant Windows et ne concerne que les applications suivantes : Access, Excel, PowerPoint, Visio et Word.
Le déploiement de cette modification commencera dans la version 2203, avec le Current Channel (Preview) début avril 2022. Par la suite, la modification sera disponible dans les autres canaux de mise à jour, tels que le Current Channel et le Monthly Enterprise Channel.
Il s'agit d'une grande amélioration de la défense contre les fichiers de documents Office malveillants.
Selon l'annonce, le blocage des macros ou non est déterminé en fonction de l'attribut MOTW (Mark of the Web) du fichier. Les applications telles que les navigateurs web et les clients de messagerie placent le MOTW sur les fichiers téléchargés et les pièces jointes des e-mails provenant d'Internet. Le MOTW est stocké dans le flux de données alternatif NTFS Zone.Identifier.
Pour bloquer les macros des fichiers de documents Office malveillants extraits de fichiers d'archive, un logiciel d'archivage doit propager le MOTW aux fichiers extraits lorsqu'un fichier d'archive possède un MOTW. Si le logiciel d'archivage ne propage pas le MOTW, les documents Office malveillants contenus dans les fichiers d'archive peuvent contourner le blocage.
Une question s'est posée : « Quel logiciel d'archivage peut propager le MOTW aux fichiers extraits ? » J'ai donc testé certains logiciels d'archivage et résumé les résultats.
| Nom | Version testée | Licence | Propagation du MOTW | Activée par défaut | Remarque |
|---|---|---|---|---|---|
| Fonction « Extraire tout » intégrée à l'Explorateur Windows | Windows 11 25H2 | propriétaire | Oui ✔️ | Oui ✔️ | |
| 7-Zip | 26.02 | GNU LGPL | Oui ✔️ | Non ❌ *1 | |
| Bandizip | Standard Edition 7.45 | freeware | Oui ✔️ | Oui ✔️ | Uniquement pour certaines extensions de fichiers *2 |
| CubeICE | 3.6.1 | freeware / propriétaire | Oui ✔️ | Oui ✔️ | |
| Explzh | 10.01 | propriétaire pour usage commercial | Oui ✔️ | Oui ✔️ | |
| File Compact | 8.00 | propriétaire | Oui ✔️ | Oui ✔️ | |
| NanaZip | 6.5.1767.0 | MIT | Oui ✔️ | Oui ✔️ | Propagation configurable pour certaines extensions de fichiers *3 |
| PeaZip | 11.2.0 | GNU LGPL | Oui ✔️ | Oui ✔️ | |
| TC4Shell | 21.3.0 (essai) | propriétaire | Oui ✔️ | Oui ✔️ | |
| Total Commander | 11.58 (essai) | propriétaire | Oui ✔️ | Oui ✔️ | |
| WinRAR | 7.23 (essai) | propriétaire | Oui ✔️ | Oui ✔️ | Uniquement pour certaines extensions de fichiers par défaut *4 |
| WinZip | 77.0 (essai) | propriétaire | Oui ✔️ | Oui ✔️ | |
| Ashampoo ZIP Free | 1.0.7 | freeware (inscription requise) | Non ❌ | ||
| CAM UnZip | 5.25.4.0 | propriétaire pour usage commercial | Non ❌ | ||
| Applet de commande Expand-Archive de PowerShell | 7.6.4 | MIT | Non ❌ | ||
| Express Zip | 11.28 | propriétaire pour usage commercial | Non ❌ | ||
| IZArc | 4.6 | freeware | Non ❌ | Malgré la disponibilité de l'option « Propagate Mark of the Web » *5 | |
| LhaForge | 2.0.1 | MIT | Non ❌ | ||
| Lhaplus | 1.74 | freeware | Non ❌ | ||
| PowerArchiver | 22.10.02 (essai) | propriétaire | Non ❌ | ||
| StuffIt Expander | 15.0.8 | freeware | Non ❌ | ||
| tar.exe (bsdtar) de Windows 11 | 3.8.4 | BSD 2-clause | Non ❌ | ||
| Universal Extractor 2 | 2.0.0 RC 3 | GNU GPLv2 | Non ❌ | ||
| ZipGenious | 6.3.2.3116 | freeware | Non ❌ | ||
| Zipware | 1.6 | freeware | Non ❌ |
*1: Bien que 7-Zip prenne en charge la propagation du MOTW depuis la version 22.00, elle est désactivée par défaut. Vous pouvez l'activer pour l'interface graphique de 7-Zip avec l'option « Propagate Zone Id stream: » dans « Tools » -> « Options » -> « 7-Zip » du gestionnaire de fichiers 7-Zip.
Lorsque vous définissez l'option sur Yes, 7-Zip propage le MOTW à tous les fichiers extraits. Lorsque vous la définissez sur « For Office files », 7-Zip propage le MOTW aux fichiers portant les extensions suivantes :
Vous pouvez également activer la propagation du MOTW en définissant sur 1 la valeur DWORD HKEY_CURRENT_USER\SOFTWARE\7-Zip\Options\WriteZoneIdExtract dans le registre.
Pour la CLI de 7-Zip, le commutateur -snz est requis pour propager le MOTW, indépendamment de l'option ci-dessus.
*2: Selon la documentation de Bandizip, Bandizip propage le MOTW aux fichiers portant les extensions suivantes :
J'ai précédemment testé Bandizip avec un fichier ZIP ne contenant que des fichiers texte, et j'en avais conclu à tort que Bandizip ne propageait pas le MOTW.
*3: NanaZip active la propagation du MOTW par défaut depuis la version 6.0 Preview 1. Vous pouvez la configurer avec l'option « Propagate Zone Id stream » dans « Options » -> « Integration » de l'interface graphique de NanaZip.
