nmantani/archiver-motw-support-comparisonविंडोज़ आर्काइवर सपोर्ट की तुलना Mark of the Web (MOTW) प्रसार के लिए करता है, जिससे टीमों को यह आकलन करने में मदद मिलती है कि कौन से उपकरण MOTW को संरक्षित करते हैं और मैक्रो-आधारित मैलवेयर वितरण को कम करते हैं।
अंग्रेज़ी | जापानी
3 मार्च 2022 को, Microsoft ने घोषणा की कि विंडोज़ पर Office अनुप्रयोगों का डिफ़ॉल्ट व्यवहार बदल दिया जाएगा ताकि इंटरनेट से आने वाली फ़ाइलों (जैसे ईमेल अनुलग्नक) में मैक्रोज़ को ब्लॉक किया जा सके।
घोषणा का एक अंश:
VBA मैक्रोज़ दुर्भावनापूर्ण अभिनेताओं के लिए मैलवेयर और रैंसमवेयर तैनात करने की पहुँच पाने का एक सामान्य तरीका है। इसलिए, Office में सुरक्षा सुधारने में मदद के लिए, हम Office अनुप्रयोगों का डिफ़ॉल्ट व्यवहार बदल रहे हैं ताकि इंटरनेट से आने वाली फ़ाइलों में मैक्रोज़ को ब्लॉक किया जा सके।
...
यह परिवर्तन केवल विंडोज़ चलाने वाले उपकरणों पर Office को प्रभावित करता है और केवल निम्नलिखित अनुप्रयोगों को प्रभावित करता है: Access, Excel, PowerPoint, Visio, और Word।
यह परिवर्तन संस्करण 2203 में लागू होना शुरू होगा, जो अप्रैल 2022 की शुरुआत में Current Channel (Preview) से शुरू होगा। बाद में, यह परिवर्तन अन्य अपडेट चैनलों, जैसे Current Channel और Monthly Enterprise Channel में उपलब्ध होगा।
यह दुर्भावनापूर्ण Office दस्तावेज़ फ़ाइलों के विरुद्ध बचाव का एक बड़ा सुधार है।
घोषणा के अनुसार, मैक्रो को ब्लॉक करना है या नहीं, यह फ़ाइल की MOTW (Mark of the Web) विशेषता के आधार पर निर्धारित किया जाता है। वेब ब्राउज़र और ईमेल क्लाइंट जैसे अनुप्रयोग इंटरनेट से आने वाली डाउनलोड की गई फ़ाइलों और ईमेल अनुलग्नकों पर MOTW लगाते हैं। MOTW को Zone.Identifier NTFS वैकल्पिक डेटा स्ट्रीम में संग्रहीत किया जाता है।
आर्काइव फ़ाइलों से निकाली गई दुर्भावनापूर्ण Office दस्तावेज़ फ़ाइलों के मैक्रो को ब्लॉक करने के लिए, जब आर्काइव फ़ाइल में MOTW होता है, तो आर्काइवर सॉफ़्टवेयर को निकाली गई फ़ाइलों में MOTW का प्रसार करना होता है। यदि आर्काइवर सॉफ़्टवेयर MOTW का प्रसार नहीं करता है, तो आर्काइव फ़ाइलों में मौजूद दुर्भावनापूर्ण Office दस्तावेज़ ब्लॉकिंग को दरकिनार कर सकते हैं।
एक प्रश्न उठा: "कौन सा आर्काइवर सॉफ़्टवेयर निकाली गई फ़ाइलों में MOTW का प्रसार कर सकता है?" इसलिए मैंने कुछ आर्काइवर सॉफ़्टवेयर का परीक्षण किया और परिणाम का सारांश प्रस्तुत किया।
*1: यद्यपि 7-Zip ने संस्करण 22.00 से MOTW प्रसार का समर्थन किया है, यह डिफ़ॉल्ट रूप से अक्षम है। आप इसे 7-Zip File Manager के "Tools" -> "Options" -> "7-Zip" में "Propagate Zone Id stream:" विकल्प के साथ 7-Zip GUI के लिए सक्षम कर सकते हैं।
जब आप विकल्प को Yes पर सेट करते हैं, तो 7-Zip सभी निकाली गई फ़ाइलों में MOTW का प्रसार करता है। जब आप इसे "For Office files" पर सेट करते हैं, तो 7-Zip निम्नलिखित फ़ाइल एक्सटेंशन वाली फ़ाइलों में MOTW का प्रसार करता है:
आप रजिस्ट्री HKEY_CURRENT_USER\SOFTWARE\7-Zip\Options\WriteZoneIdExtract DWORD को 1 पर सेट करके भी MOTW प्रसार सक्षम कर सकते हैं।
7-Zip CLI के लिए, उपरोक्त विकल्प की परवाह किए बिना MOTW का प्रसार करने हेतु -snz स्विच आवश्यक है।
*2: Bandizip के दस्तावेज़ के अनुसार, Bandizip निम्नलिखित फ़ाइल एक्सटेंशन वाली फ़ाइलों में MOTW का प्रसार करता है:
मैंने पहले Bandizip का परीक्षण एक ZIP आर्काइव फ़ाइल के साथ किया था जिसमें केवल टेक्स्ट फ़ाइलें थीं, और मैंने गलत समझा कि Bandizip MOTW का प्रसार नहीं करता है।
*3: NanaZip ने संस्करण 6.0 Preview 1 से डिफ़ॉल्ट रूप से MOTW प्रसार सक्षम किया है। आप इसे NanaZip GUI के "Options" -> "Integration" में "Propagate Zone Id stream" विकल्प के साथ कॉन्फ़िगर कर सकते हैं।
जब आप इसे "For unsafe files" पर सेट करते हैं, तो NanaZip निम्नलिखित फ़ाइल एक्सटेंशन वाली फ़ाइलों में MOTW का प्रसार करता है:
NanaZip रजिस्ट्री के साथ सिस्टम-व्यापी नीतियों का समर्थन करता है। ये नीतियाँ उपयोगकर्ता सेटिंग्स को ओवरराइड करती हैं।
*4: WinRAR 7.0 ने "Propagate Mark of the Web" विकल्प पेश किया। आप निम्नलिखित मान चुन सकते हैं:
यह विकल्प केवल WinRAR GUI द्वारा समर्थित है। WinRAR CLI विकल्प की परवाह किए बिना MOTW का प्रसार नहीं करता है।
डिफ़ॉल्ट "For executable and office files" है और WinRAR निम्नलिखित फ़ाइल एक्सटेंशन वाली फ़ाइलों में MOTW का प्रसार करता है:
जब आप विकल्प को "For office files" पर सेट करते हैं, तो WinRAR निम्नलिखित फ़ाइल एक्सटेंशन वाली फ़ाइलों में MOTW का प्रसार करता है:
जब आप विकल्प को "For user defined types" पर सेट करते हैं, तो आप फ़ाइल एक्सटेंशन निर्दिष्ट कर सकते हैं।
*5: IZArc संस्करण 4.6 ने "Propagate Mark of the Web" विकल्प पेश किया, और यह डिफ़ॉल्ट रूप से सक्षम है। हालाँकि, ऐसा प्रतीत होता है कि IZArc विकल्प की परवाह किए बिना MOTW का प्रसार नहीं करता है।
इन उदाहरणों में, Set-MOTW.ps1 के साथ ZIP आर्काइव फ़ाइल motw-test.zip के लिए MOTW मैन्युअल रूप से सेट किया गया था, फिर Get-MOTW.ps1 के साथ निकाली गई फ़ाइल का MOTW प्रदर्शित किया गया। Set-MOTW.ps1 और Get-MOTW.ps1 मेरे PS-MOTW रिपॉज़िटरी में उपलब्ध हैं।
Windows Explorer या WinZip (संस्करण 28.0 को छोड़कर) के साथ निकाली गई फ़ाइल का MOTW:
7-Zip, Bandizip, File Compact, NanaZip, या PeaZip के साथ निकाली गई फ़ाइल का MOTW:
CubeICE, Explzh, TC4Shell, या WinRAR के साथ निकाली गई फ़ाइल का MOTW:
Total Commander के साथ निकाली गई फ़ाइल का MOTW:
कृपया ये ब्लॉग लेख देखें:
ये इसे समझने में बहुत सहायक हैं।
कृपया Issues या Pull requests से अपना परीक्षण परिणाम प्रदान करें। चूँकि मैं जापानी हूँ, तुलना तालिका में कुछ जापानी आर्काइवर सॉफ़्टवेयर शामिल हैं जिन्हें आप नहीं जानते होंगे।
कृपया Details about the Mark-of-the-Web (MOTW) देखें। यह अंतर्निहित Windows अनज़िप उपयोगिता और 7-zip के व्यवहार की तुलना करता है। आप अपने पसंदीदा आर्काइवर सॉफ़्टवेयर का इसी तरह परीक्षण कर सकते हैं।
मैंने PS-MOTW बनाया है, जो MOTW को मैन्युअल रूप से सेट / दिखाने / हटाने के लिए PowerShell स्क्रिप्ट हैं। आप इसका उपयोग आर्काइवर सॉफ़्टवेयर के परीक्षण के लिए कर सकते हैं।
Macros from the internet will be blocked by default in Office
https://docs.microsoft.com/en-us/deployoffice/security/internet-macros-blocked
Details about the Mark-of-the-Web (MOTW)
https://nolongerset.com/mark-of-the-web-details/
Downloads and the Mark-of-the-Web
https://textslashplain.com/2016/04/04/downloads-and-the-mark-of-the-web/
Mark-of-the-Web from a red team’s perspective
https://outflank.nl/blog/2020/03/30/mark-of-the-web-from-a-red-teams-perspective/
The Dangers of VHD and VHDX Files
https://insights.sei.cmu.edu/blog/the-dangers-of-vhd-and-vhdx-files/
Subvert Trust Controls: Mark-of-the-Web Bypass
https://attack.mitre.org/techniques/T1553/005/
Nobutaka Mantani (@nmantani)
| नाम | परीक्षित संस्करण | लाइसेंस | MOTW प्रसार | डिफ़ॉल्ट रूप से सक्षम | टिप्पणी |
|---|
| Windows Explorer का अंतर्निहित "Extract all" फ़ंक्शन | Windows 11 25H2 | स्वामित्व | हाँ ✔️ | हाँ ✔️ | |
| 7-Zip | 26.02 | GNU LGPL | हाँ ✔️ | नहीं ❌ *1 | |
| Bandizip | Standard Edition 7.45 | फ्रीवेयर | हाँ ✔️ | हाँ ✔️ | केवल विशिष्ट फ़ाइल एक्सटेंशन के लिए *2 |
| CubeICE | 3.6.1 | फ्रीवेयर / स्वामित्व | हाँ ✔️ | हाँ ✔️ | |
| Explzh | 10.01 | व्यावसायिक उपयोग के लिए स्वामित्व | हाँ ✔️ | हाँ ✔️ | |
| File Compact | 8.00 | स्वामित्व | हाँ ✔️ | हाँ ✔️ | |
| NanaZip | 6.5.1767.0 | MIT | हाँ ✔️ | हाँ ✔️ | विशिष्ट फ़ाइल एक्सटेंशन के लिए प्रसार हेतु कॉन्फ़िगर करने योग्य *3 |
| PeaZip | 11.2.0 | GNU LGPL | हाँ ✔️ | हाँ ✔️ | |
| TC4Shell | 21.3.0 (परीक्षण) | स्वामित्व | हाँ ✔️ | हाँ ✔️ | |
| Total Commander | 11.58 (परीक्षण) | स्वामित्व | हाँ ✔️ | हाँ ✔️ | |
| WinRAR | 7.23 (परीक्षण) | स्वामित्व | हाँ ✔️ | हाँ ✔️ | डिफ़ॉल्ट रूप से केवल विशिष्ट फ़ाइल एक्सटेंशन के लिए *4 |
| WinZip | 77.0 (परीक्षण) | स्वामित्व | हाँ ✔️ | हाँ ✔️ | |
| Ashampoo ZIP Free | 1.0.7 | फ्रीवेयर (पंजीकरण आवश्यक) | नहीं ❌ | ||
| CAM UnZip | 5.25.4.0 | व्यावसायिक उपयोग के लिए स्वामित्व | नहीं ❌ | ||
| PowerShell का Expand-Archive cmdlet | 7.6.4 | MIT | नहीं ❌ | ||
| Express Zip | 11.28 | व्यावसायिक उपयोग के लिए स्वामित्व | नहीं ❌ | ||
| IZArc | 4.6 | फ्रीवेयर | नहीं ❌ | "Propagate Mark of the Web" विकल्प उपलब्ध होने के बावजूद *5 | |
| LhaForge | 2.0.1 | MIT | नहीं ❌ | ||
| Lhaplus | 1.74 | फ्रीवेयर | नहीं ❌ | ||
| PowerArchiver | 22.10.02 (परीक्षण) | स्वामित्व | नहीं ❌ | ||
| StuffIt Expander | 15.0.8 | फ्रीवेयर | नहीं ❌ | ||
| विंडोज़ 11 का tar.exe (bsdtar) | 3.8.4 | BSD 2-clause | नहीं ❌ | ||
| Universal Extractor 2 | 2.0.0 RC 3 | GNU GPLv2 | नहीं ❌ | ||
| ZipGenious | 6.3.2.3116 | फ्रीवेयर | नहीं ❌ | ||
| Zipware | 1.6 | फ्रीवेयर | नहीं ❌ |
| नाम | परीक्षित संस्करण | MOTW प्रसार व्यवहार |
|---|
| Windows Explorer का अंतर्निहित "Extract all" फ़ंक्शन | Windows 11 25H2 |
|
| 7-Zip | 26.02 |
|
| Bandizip | Standard Edition 7.45 |
|
| CubeICE | 3.6.1 |
|
| Explzh | 10.01 |
|
| File Compact | 8.00 |
|
| NanaZip | 6.5.1767.0 |
|
| PeaZip | 11.2.0 |
|
| TC4Shell | 21.3.0 (परीक्षण) |
|
| Total Commander | 11.58 (परीक्षण) |
|
| WinRAR | 7.23 (परीक्षण) |
|
| WinZip | 77.0 (परीक्षण) |
|
कृपया Issues से विवरण या Pull requests से सुधार प्रदान करें। मुझे इसे ठीक करने में खुशी होगी।
हाँ। यदि डिस्क इमेज फ़ाइल का फ़ाइल प्रारूप NTFS वैकल्पिक डेटा स्ट्रीम का समर्थन नहीं करता है, तो डिस्क इमेज फ़ाइल में मौजूद फ़ाइलों के लिए MOTW सेट नहीं होता है। कृपया निम्नलिखित भी देखें:
11 अप्रैल 2022 को अपडेट:
Didier Stevens (@DidierStevens) के ब्लॉग लेख .ISO Files With Office Maldocs & Protected View in Office 2019 and 2021 के अनुसार, Office 2019 और 2021 MOTW वाली ISO फ़ाइल के अंदर संग्रहीत Office दस्तावेज़ को खोलने के लिए Protected View का उपयोग करते हैं। यह व्यवहार अगस्त 2021 में पेश किया गया था।
30 नवंबर 2022 को अपडेट:
Bill Demirkapi (@BillDemirkapi) के ट्वीट के अनुसार, Microsoft ने 8 नवंबर 2022 को जारी सुरक्षा अपडेट द्वारा विंडोज़ पर ISO और VHD जैसी वर्चुअल डिस्क कंटेनर फ़ाइलों के लिए MOTW की हैंडलिंग ठीक कर दी। जब अनुप्रयोग इंटरनेट से डाउनलोड की गई वर्चुअल डिस्क कंटेनर फ़ाइल के अंदर की फ़ाइलें खोलते हैं, तो फ़ाइलें वर्चुअल डिस्क कंटेनर फ़ाइल के MOTW को इनहेरिट करेंगी।
