nmantani/archiver-motw-support-comparisonCompare la prise en charge des archiveurs Windows pour la propagation du Mark of the Web, aidant les équipes à évaluer quels outils préservent le MOTW et atténuent la livraison de logiciels malveillants à base de macros.
Anglais | Japonais
Le 3 mars 2022, Microsoft a annoncé que le comportement par défaut des applications Office sous Windows sera modifié pour bloquer les macros contenues dans les fichiers provenant d'Internet (comme les pièces jointes des e-mails).
Extrait de l'annonce :
Les macros VBA sont un moyen courant pour les acteurs malveillants d'accéder aux systèmes afin de déployer des malwares et des ransomwares. Par conséquent, pour contribuer à améliorer la sécurité d'Office, nous modifions le comportement par défaut des applications Office afin de bloquer les macros contenues dans les fichiers provenant d'Internet.
...
Cette modification n'affecte qu'Office sur les appareils exécutant Windows et ne concerne que les applications suivantes : Access, Excel, PowerPoint, Visio et Word.
Le déploiement de cette modification commencera dans la version 2203, avec le Current Channel (Preview) début avril 2022. Par la suite, la modification sera disponible dans les autres canaux de mise à jour, tels que le Current Channel et le Monthly Enterprise Channel.
Il s'agit d'une grande amélioration de la défense contre les fichiers de documents Office malveillants.
Selon l'annonce, le blocage des macros ou non est déterminé en fonction de l'attribut MOTW (Mark of the Web) du fichier. Les applications telles que les navigateurs web et les clients de messagerie placent le MOTW sur les fichiers téléchargés et les pièces jointes des e-mails provenant d'Internet. Le MOTW est stocké dans le flux de données alternatif NTFS Zone.Identifier.
Pour bloquer les macros des fichiers de documents Office malveillants extraits de fichiers d'archive, un logiciel d'archivage doit propager le MOTW aux fichiers extraits lorsqu'un fichier d'archive possède un MOTW. Si le logiciel d'archivage ne propage pas le MOTW, les documents Office malveillants contenus dans les fichiers d'archive peuvent contourner le blocage.
Une question s'est posée : « Quel logiciel d'archivage peut propager le MOTW aux fichiers extraits ? » J'ai donc testé certains logiciels d'archivage et résumé les résultats.
*1: Bien que 7-Zip prenne en charge la propagation du MOTW depuis la version 22.00, elle est désactivée par défaut. Vous pouvez l'activer pour l'interface graphique de 7-Zip avec l'option « Propagate Zone Id stream: » dans « Tools » -> « Options » -> « 7-Zip » du gestionnaire de fichiers 7-Zip.
Lorsque vous définissez l'option sur Yes, 7-Zip propage le MOTW à tous les fichiers extraits. Lorsque vous la définissez sur « For Office files », 7-Zip propage le MOTW aux fichiers portant les extensions suivantes :
Vous pouvez également activer la propagation du MOTW en définissant sur 1 la valeur DWORD HKEY_CURRENT_USER\SOFTWARE\7-Zip\Options\WriteZoneIdExtract dans le registre.
Pour la CLI de 7-Zip, le commutateur -snz est requis pour propager le MOTW, indépendamment de l'option ci-dessus.
*2: Selon la documentation de Bandizip, Bandizip propage le MOTW aux fichiers portant les extensions suivantes :
J'ai précédemment testé Bandizip avec un fichier ZIP ne contenant que des fichiers texte, et j'en avais conclu à tort que Bandizip ne propageait pas le MOTW.
*3: NanaZip active la propagation du MOTW par défaut depuis la version 6.0 Preview 1. Vous pouvez la configurer avec l'option « Propagate Zone Id stream » dans « Options » -> « Integration » de l'interface graphique de NanaZip.
Lorsque vous la définissez sur « For unsafe files », NanaZip propage le MOTW aux fichiers portant les extensions suivantes :
NanaZip prend en charge les stratégies à l'échelle du système via le registre. Ces stratégies remplacent les paramètres utilisateur.
*4: WinRAR 7.0 a introduit l'option « Propagate Mark of the Web ». Vous pouvez choisir les valeurs suivantes :
L'option n'est prise en charge que par l'interface graphique de WinRAR. La CLI de WinRAR ne propage pas le MOTW, indépendamment de l'option.
La valeur par défaut est « For executable and office files » et WinRAR propage le MOTW aux fichiers portant les extensions suivantes :
Lorsque vous définissez l'option sur « For office files », WinRAR propage le MOTW aux fichiers portant les extensions suivantes :
Vous pouvez spécifier des extensions de fichiers lorsque vous définissez l'option sur « For user defined types ».
*5: IZArc version 4.6 a introduit l'option « Propagate Mark of the Web », et elle est activée par défaut. Cependant, il semble qu'IZArc ne propage pas le MOTW, indépendamment de l'option.
Dans ces exemples, le MOTW a été défini manuellement pour un fichier d'archive ZIP motw-test.zip à l'aide de Set-MOTW.ps1, puis le MOTW d'un fichier extrait est affiché avec Get-MOTW.ps1. Set-MOTW.ps1 et Get-MOTW.ps1 sont disponibles dans mon dépôt PS-MOTW.
MOTW d'un fichier extrait avec l'Explorateur Windows ou WinZip (sauf version 28.0) :
MOTW d'un fichier extrait avec 7-Zip, Bandizip, File Compact, NanaZip ou PeaZip :
MOTW d'un fichier extrait avec CubeICE, Explzh, TC4Shell ou WinRAR :
MOTW d'un fichier extrait avec Total Commander :
Veuillez consulter ces articles de blog :
Ils sont très utiles pour le comprendre.
Veuillez fournir votre résultat de test via Issues ou Pull requests. Étant japonais, le tableau comparatif contient certains logiciels d'archivage japonais que vous ne connaissez peut-être pas.
Veuillez consulter Details about the Mark-of-the-Web (MOTW). Cet article compare le comportement de l'utilitaire de décompression intégré de Windows et de 7-zip. Vous pouvez tester votre logiciel d'archivage préféré de la même manière.
J'ai créé PS-MOTW, des scripts PowerShell pour définir / afficher / supprimer manuellement le MOTW. Vous pouvez les utiliser pour tester les logiciels d'archivage.
Les macros provenant d'Internet seront bloquées par défaut dans Office
https://docs.microsoft.com/en-us/deployoffice/security/internet-macros-blocked
Details about the Mark-of-the-Web (MOTW)
https://nolongerset.com/mark-of-the-web-details/
Downloads and the Mark-of-the-Web
https://textslashplain.com/2016/04/04/downloads-and-the-mark-of-the-web/
Mark-of-the-Web from a red team's perspective
https://outflank.nl/blog/2020/03/30/mark-of-the-web-from-a-red-teams-perspective/
The Dangers of VHD and VHDX Files
https://insights.sei.cmu.edu/blog/the-dangers-of-vhd-and-vhdx-files/
Subvert Trust Controls: Mark-of-the-Web Bypass
https://attack.mitre.org/techniques/T1553/005/
Nobutaka Mantani (@nmantani)
| Nom | Version testée | Licence | Propagation du MOTW | Activée par défaut | Remarque |
|---|
| Fonction « Extraire tout » intégrée à l'Explorateur Windows | Windows 11 25H2 | propriétaire | Oui ✔️ | Oui ✔️ | |
| 7-Zip | 26.02 | GNU LGPL | Oui ✔️ | Non ❌ *1 | |
| Bandizip | Standard Edition 7.45 | freeware | Oui ✔️ | Oui ✔️ | Uniquement pour certaines extensions de fichiers *2 |
| CubeICE | 3.6.1 | freeware / propriétaire | Oui ✔️ | Oui ✔️ | |
| Explzh | 10.01 | propriétaire pour usage commercial | Oui ✔️ | Oui ✔️ | |
| File Compact | 8.00 | propriétaire | Oui ✔️ | Oui ✔️ | |
| NanaZip | 6.5.1767.0 | MIT | Oui ✔️ | Oui ✔️ | Propagation configurable pour certaines extensions de fichiers *3 |
| PeaZip | 11.2.0 | GNU LGPL | Oui ✔️ | Oui ✔️ | |
| TC4Shell | 21.3.0 (essai) | propriétaire | Oui ✔️ | Oui ✔️ | |
| Total Commander | 11.58 (essai) | propriétaire | Oui ✔️ | Oui ✔️ | |
| WinRAR | 7.23 (essai) | propriétaire | Oui ✔️ | Oui ✔️ | Uniquement pour certaines extensions de fichiers par défaut *4 |
| WinZip | 77.0 (essai) | propriétaire | Oui ✔️ | Oui ✔️ | |
| Ashampoo ZIP Free | 1.0.7 | freeware (inscription requise) | Non ❌ | ||
| CAM UnZip | 5.25.4.0 | propriétaire pour usage commercial | Non ❌ | ||
| Applet de commande Expand-Archive de PowerShell | 7.6.4 | MIT | Non ❌ | ||
| Express Zip | 11.28 | propriétaire pour usage commercial | Non ❌ | ||
| IZArc | 4.6 | freeware | Non ❌ | Malgré la disponibilité de l'option « Propagate Mark of the Web » *5 | |
| LhaForge | 2.0.1 | MIT | Non ❌ | ||
| Lhaplus | 1.74 | freeware | Non ❌ | ||
| PowerArchiver | 22.10.02 (essai) | propriétaire | Non ❌ | ||
| StuffIt Expander | 15.0.8 | freeware | Non ❌ | ||
| tar.exe (bsdtar) de Windows 11 | 3.8.4 | BSD 2-clause | Non ❌ | ||
| Universal Extractor 2 | 2.0.0 RC 3 | GNU GPLv2 | Non ❌ | ||
| ZipGenious | 6.3.2.3116 | freeware | Non ❌ | ||
| Zipware | 1.6 | freeware | Non ❌ |
| Nom | Version testée | Comportement de propagation du MOTW |
|---|
| Fonction « Extraire tout » intégrée à l'Explorateur Windows | Windows 11 25H2 |
|
| 7-Zip | 26.02 |
|
| Bandizip | Standard Edition 7.45 |
|
| CubeICE | 3.6.1 |
|
| Explzh | 10.01 |
|
| File Compact | 8.00 |
|
| NanaZip | 6.5.1767.0 |
|
| PeaZip | 11.2.0 |
|
| TC4Shell | 21.3.0 (essai) |
|
| Total Commander | 11.58 (essai) |
|
| WinRAR | 7.23 (essai) |
|
| WinZip | 77.0 (essai) |
|
Veuillez fournir les détails via Issues ou la correction via Pull requests. Je serai ravi de la corriger.
Oui. Si le format d'un fichier image disque ne prend pas en charge le flux de données alternatif NTFS, le MOTW n'est pas défini pour les fichiers contenus dans le fichier image disque. Veuillez également consulter ce qui suit :
Mise à jour du 11 avril 2022 :
Selon l'article de blog .ISO Files With Office Maldocs & Protected View in Office 2019 and 2021 de Didier Stevens (@DidierStevens), Office 2019 et 2021 utilisent l'affichage protégé (Protected View) pour ouvrir les documents Office stockés dans un fichier ISO avec MOTW. Ce comportement a été introduit en août 2021.
Mise à jour du 30 novembre 2022 :
Selon le tweet de Bill Demirkapi (@BillDemirkapi), Microsoft a corrigé la gestion du MOTW pour les fichiers conteneurs de disques virtuels tels que ISO et VHD sous Windows grâce aux mises à jour de sécurité publiées le 8 novembre 2022. Lorsque les applications ouvrent des fichiers situés dans un fichier conteneur de disque virtuel téléchargé depuis Internet, les fichiers héritent du MOTW du fichier conteneur de disque virtuel.
