nmantani/archiver-motw-support-comparisonConfronta il supporto degli archiviatori Windows per la propagazione del Mark of the Web, aiutando i team a valutare quali strumenti preservano MOTW e mitigano la distribuzione di malware basato su macro.
Inglese | Giapponese
Il 3 marzo 2022, Microsoft ha annunciato che il comportamento predefinito delle applicazioni Office su Windows verrà modificato per bloccare le macro nei file provenienti da Internet (come gli allegati email).
Un estratto dell'annuncio:
Le macro VBA sono un metodo comune con cui gli attori malintenzionati ottengono l'accesso per distribuire malware e ransomware. Pertanto, per contribuire a migliorare la sicurezza in Office, stiamo modificando il comportamento predefinito delle applicazioni Office per bloccare le macro nei file provenienti da Internet.
...
Questa modifica riguarda solo Office sui dispositivi con Windows e solo le seguenti applicazioni: Access, Excel, PowerPoint, Visio e Word.
La modifica inizierà a essere distribuita nella Versione 2203, a partire da Current Channel (Preview) all'inizio di aprile 2022. Successivamente, la modifica sarà disponibile negli altri canali di aggiornamento, come Current Channel e Monthly Enterprise Channel.
Si tratta di un grande miglioramento nella difesa contro i file di documenti Office dannosi.
Secondo l'annuncio, il blocco delle macro o meno è determinato in base all'attributo MOTW (Mark of the Web) del file. Applicazioni come i browser web e i client di posta elettronica applicano MOTW ai file scaricati e agli allegati email provenienti da Internet. MOTW è memorizzato nel flusso di dati alternativo NTFS Zone.Identifier.
Per bloccare le macro dei file di documenti Office dannosi estratti da file di archivio, un software di compressione deve propagare MOTW ai file estratti quando un file di archivio ha MOTW. Se il software di compressione non propaga MOTW, i documenti Office dannosi nei file di archivio possono aggirare il blocco.
È sorta una domanda: "Quale software di compressione può propagare MOTW ai file estratti?" Quindi ho testato alcuni software di compressione e ho riassunto i risultati.
| Nome | Versione testata | Licenza | Propagazione MOTW | Abilitata per impostazione predefinita | Nota |
|---|---|---|---|---|---|
| Funzione integrata "Extract all" di Esplora file di Windows | Windows 11 25H2 | proprietaria | Sì ✔️ | Sì ✔️ | |
| 7-Zip | 26.02 | GNU LGPL | Sì ✔️ | No ❌ *1 | |
| Bandizip | Standard Edition 7.45 | freeware | Sì ✔️ | Sì ✔️ | Solo per estensioni di file specifiche *2 |
| CubeICE | 3.6.1 | freeware / proprietaria | Sì ✔️ | Sì ✔️ | |
| Explzh | 10.01 | proprietaria per uso commerciale | Sì ✔️ | Sì ✔️ | |
| File Compact | 8.00 | proprietaria | Sì ✔️ | Sì ✔️ | |
| NanaZip | 6.5.1767.0 | MIT | Sì ✔️ | Sì ✔️ | Configurabile per propagare per estensioni di file specifiche *3 |
| PeaZip | 11.2.0 | GNU LGPL | Sì ✔️ | Sì ✔️ | |
| TC4Shell | 21.3.0 (versione di prova) | proprietaria | Sì ✔️ | Sì ✔️ | |
| Total Commander | 11.58 (versione di prova) | proprietaria | Sì ✔️ | Sì ✔️ | |
| WinRAR | 7.23 (versione di prova) | proprietaria | Sì ✔️ | Sì ✔️ | Solo per estensioni di file specifiche per impostazione predefinita *4 |
| WinZip | 77.0 (versione di prova) | proprietaria | Sì ✔️ | Sì ✔️ | |
| Ashampoo ZIP Free | 1.0.7 | freeware (registrazione richiesta) | No ❌ | ||
| CAM UnZip | 5.25.4.0 | proprietaria per uso commerciale | No ❌ | ||
| Cmdlet Expand-Archive di PowerShell | 7.6.4 | MIT | No ❌ | ||
| Express Zip | 11.28 | proprietaria per uso commerciale | No ❌ | ||
| IZArc | 4.6 | freeware | No ❌ | Nonostante la disponibilità dell'opzione "Propagate Mark of the Web" *5 | |
| LhaForge | 2.0.1 | MIT | No ❌ | ||
| Lhaplus | 1.74 | freeware | No ❌ | ||
| PowerArchiver | 22.10.02 (versione di prova) | proprietaria | No ❌ | ||
| StuffIt Expander | 15.0.8 | freeware | No ❌ | ||
| tar.exe (bsdtar) di Windows 11 | 3.8.4 | BSD 2-clause | No ❌ | ||
| Universal Extractor 2 | 2.0.0 RC 3 | GNU GPLv2 | No ❌ | ||
| ZipGenious | 6.3.2.3116 | freeware | No ❌ | ||
| Zipware | 1.6 | freeware | No ❌ |
*1: Sebbene 7-Zip supporti la propagazione di MOTW dalla versione 22.00, è disabilitata per impostazione predefinita. Puoi abilitarla per la GUI di 7-Zip con l'opzione "Propagate Zone Id stream:" in "Tools" -> "Options" -> "7-Zip" di 7-Zip File Manager.
Quando imposti l'opzione su Yes, 7-Zip propaga MOTW a tutti i file estratti. Quando la imposti su "For Office files", 7-Zip propaga MOTW ai file con le seguenti estensioni:
Puoi anche abilitare la propagazione di MOTW impostando a 1 il valore DWORD HKEY_CURRENT_USER\SOFTWARE\7-Zip\Options\WriteZoneIdExtract nel registro di sistema.
Per la CLI di 7-Zip, è richiesto lo switch -snz per propagare MOTW indipendentemente dall'opzione sopra.
*2: Secondo il documento di Bandizip, Bandizip propaga MOTW ai file con le seguenti estensioni:
In precedenza ho testato Bandizip con un file di archivio ZIP che conteneva solo file di testo e avevo frainteso che Bandizip non propagasse MOTW.
*3: NanaZip ha la propagazione di MOTW abilitata per impostazione predefinita dalla versione 6.0 Preview 1. Puoi configurarla con l'opzione "Propagate Zone Id stream" in "Options" -> "Integration" della GUI di NanaZip.
Quando la imposti su "For unsafe files", NanaZip propaga MOTW ai file con le seguenti estensioni:
NanaZip supporta criteri a livello di sistema tramite il registro di sistema. Questi criteri hanno la precedenza sulle impostazioni utente.
