nmantani/archiver-motw-support-comparisonConfronta il supporto degli archiviatori Windows per la propagazione del Mark of the Web, aiutando i team a valutare quali strumenti preservano MOTW e mitigano la distribuzione di malware basato su macro.
Inglese | Giapponese
Il 3 marzo 2022, Microsoft ha annunciato che il comportamento predefinito delle applicazioni Office su Windows verrà modificato per bloccare le macro nei file provenienti da Internet (come gli allegati email).
Un estratto dell'annuncio:
Le macro VBA sono un metodo comune con cui gli attori malintenzionati ottengono l'accesso per distribuire malware e ransomware. Pertanto, per contribuire a migliorare la sicurezza in Office, stiamo modificando il comportamento predefinito delle applicazioni Office per bloccare le macro nei file provenienti da Internet.
...
Questa modifica riguarda solo Office sui dispositivi con Windows e solo le seguenti applicazioni: Access, Excel, PowerPoint, Visio e Word.
La modifica inizierà a essere distribuita nella Versione 2203, a partire da Current Channel (Preview) all'inizio di aprile 2022. Successivamente, la modifica sarà disponibile negli altri canali di aggiornamento, come Current Channel e Monthly Enterprise Channel.
Si tratta di un grande miglioramento nella difesa contro i file di documenti Office dannosi.
Secondo l'annuncio, il blocco delle macro o meno è determinato in base all'attributo MOTW (Mark of the Web) del file. Applicazioni come i browser web e i client di posta elettronica applicano MOTW ai file scaricati e agli allegati email provenienti da Internet. MOTW è memorizzato nel flusso di dati alternativo NTFS Zone.Identifier.
Per bloccare le macro dei file di documenti Office dannosi estratti da file di archivio, un software di compressione deve propagare MOTW ai file estratti quando un file di archivio ha MOTW. Se il software di compressione non propaga MOTW, i documenti Office dannosi nei file di archivio possono aggirare il blocco.
È sorta una domanda: "Quale software di compressione può propagare MOTW ai file estratti?" Quindi ho testato alcuni software di compressione e ho riassunto i risultati.
*1: Sebbene 7-Zip supporti la propagazione di MOTW dalla versione 22.00, è disabilitata per impostazione predefinita. Puoi abilitarla per la GUI di 7-Zip con l'opzione "Propagate Zone Id stream:" in "Tools" -> "Options" -> "7-Zip" di 7-Zip File Manager.
Quando imposti l'opzione su Yes, 7-Zip propaga MOTW a tutti i file estratti. Quando la imposti su "For Office files", 7-Zip propaga MOTW ai file con le seguenti estensioni:
Puoi anche abilitare la propagazione di MOTW impostando a 1 il valore DWORD HKEY_CURRENT_USER\SOFTWARE\7-Zip\Options\WriteZoneIdExtract nel registro di sistema.
Per la CLI di 7-Zip, è richiesto lo switch -snz per propagare MOTW indipendentemente dall'opzione sopra.
*2: Secondo il documento di Bandizip, Bandizip propaga MOTW ai file con le seguenti estensioni:
In precedenza ho testato Bandizip con un file di archivio ZIP che conteneva solo file di testo e avevo frainteso che Bandizip non propagasse MOTW.
*3: NanaZip ha la propagazione di MOTW abilitata per impostazione predefinita dalla versione 6.0 Preview 1. Puoi configurarla con l'opzione "Propagate Zone Id stream" in "Options" -> "Integration" della GUI di NanaZip.
Quando la imposti su "For unsafe files", NanaZip propaga MOTW ai file con le seguenti estensioni:
NanaZip supporta criteri a livello di sistema tramite il registro di sistema. Questi criteri hanno la precedenza sulle impostazioni utente.
*4: WinRAR 7.0 ha introdotto l'opzione "Propagate Mark of the Web". Puoi scegliere i seguenti valori:
L'opzione è supportata solo dalla GUI di WinRAR. La CLI di WinRAR non propaga MOTW indipendentemente dall'opzione.
L'impostazione predefinita è "For executable and office files" e WinRAR propaga MOTW ai file con le seguenti estensioni:
Quando imposti l'opzione su "For office files", WinRAR propaga MOTW ai file con le seguenti estensioni:
Puoi specificare le estensioni dei file quando imposti l'opzione su "For user defined types".
*5: IZArc versione 4.6 ha introdotto l'opzione "Propagate Mark of the Web" ed è abilitata per impostazione predefinita. Tuttavia, sembra che IZArc non propaghi MOTW indipendentemente dall'opzione.
In questi esempi, MOTW è stato impostato manualmente per un file di archivio ZIP motw-test.zip con Set-MOTW.ps1, quindi il MOTW di un file estratto viene visualizzato con Get-MOTW.ps1. Set-MOTW.ps1 e Get-MOTW.ps1 sono disponibili nel mio repository PS-MOTW.
MOTW di un file estratto con Esplora file di Windows o WinZip (tranne la versione 28.0):
MOTW di un file estratto con 7-Zip, Bandizip, File Compact, NanaZip o PeaZip:
MOTW di un file estratto con CubeICE, Explzh, TC4Shell o WinRAR:
MOTW di un file estratto con Total Commander:
Consulta questi articoli di blog:
Sono molto utili per comprenderlo.
Fornisci il tuo risultato di test tramite Issues o Pull requests. Poiché sono giapponese, la tabella comparativa contiene alcuni software di compressione giapponesi che potresti non conoscere.
Consulta Dettagli sul Mark-of-the-Web (MOTW). Confronta il comportamento dell'utilità di decompressione integrata di Windows e di 7-zip. Puoi testare il tuo software di compressione preferito in modo simile.
Ho creato PS-MOTW, script PowerShell per impostare / visualizzare / rimuovere manualmente MOTW. Puoi usarlo per testare software di compressione.
Le macro provenienti da Internet saranno bloccate per impostazione predefinita in Office
https://docs.microsoft.com/en-us/deployoffice/security/internet-macros-blocked
Dettagli sul Mark-of-the-Web (MOTW)
https://nolongerset.com/mark-of-the-web-details/
Download e Mark-of-the-Web
https://textslashplain.com/2016/04/04/downloads-and-the-mark-of-the-web/
Il Mark-of-the-Web dalla prospettiva di un red team
https://outflank.nl/blog/2020/03/30/mark-of-the-web-from-a-red-teams-perspective/
I pericoli dei file VHD e VHDX
https://insights.sei.cmu.edu/blog/the-dangers-of-vhd-and-vhdx-files/
Subvert Trust Controls: Mark-of-the-Web Bypass
https://attack.mitre.org/techniques/T1553/005/
Nobutaka Mantani (@nmantani)
| Nome | Versione testata | Licenza | Propagazione MOTW | Abilitata per impostazione predefinita | Nota |
|---|
| Funzione integrata "Extract all" di Esplora file di Windows | Windows 11 25H2 | proprietaria | Sì ✔️ | Sì ✔️ | |
| 7-Zip | 26.02 | GNU LGPL | Sì ✔️ | No ❌ *1 | |
| Bandizip | Standard Edition 7.45 | freeware | Sì ✔️ | Sì ✔️ | Solo per estensioni di file specifiche *2 |
| CubeICE | 3.6.1 | freeware / proprietaria | Sì ✔️ | Sì ✔️ | |
| Explzh | 10.01 | proprietaria per uso commerciale | Sì ✔️ | Sì ✔️ | |
| File Compact | 8.00 | proprietaria | Sì ✔️ | Sì ✔️ | |
| NanaZip | 6.5.1767.0 | MIT | Sì ✔️ | Sì ✔️ | Configurabile per propagare per estensioni di file specifiche *3 |
| PeaZip | 11.2.0 | GNU LGPL | Sì ✔️ | Sì ✔️ | |
| TC4Shell | 21.3.0 (versione di prova) | proprietaria | Sì ✔️ | Sì ✔️ | |
| Total Commander | 11.58 (versione di prova) | proprietaria | Sì ✔️ | Sì ✔️ | |
| WinRAR | 7.23 (versione di prova) | proprietaria | Sì ✔️ | Sì ✔️ | Solo per estensioni di file specifiche per impostazione predefinita *4 |
| WinZip | 77.0 (versione di prova) | proprietaria | Sì ✔️ | Sì ✔️ | |
| Ashampoo ZIP Free | 1.0.7 | freeware (registrazione richiesta) | No ❌ | ||
| CAM UnZip | 5.25.4.0 | proprietaria per uso commerciale | No ❌ | ||
| Cmdlet Expand-Archive di PowerShell | 7.6.4 | MIT | No ❌ | ||
| Express Zip | 11.28 | proprietaria per uso commerciale | No ❌ | ||
| IZArc | 4.6 | freeware | No ❌ | Nonostante la disponibilità dell'opzione "Propagate Mark of the Web" *5 | |
| LhaForge | 2.0.1 | MIT | No ❌ | ||
| Lhaplus | 1.74 | freeware | No ❌ | ||
| PowerArchiver | 22.10.02 (versione di prova) | proprietaria | No ❌ | ||
| StuffIt Expander | 15.0.8 | freeware | No ❌ | ||
| tar.exe (bsdtar) di Windows 11 | 3.8.4 | BSD 2-clause | No ❌ | ||
| Universal Extractor 2 | 2.0.0 RC 3 | GNU GPLv2 | No ❌ | ||
| ZipGenious | 6.3.2.3116 | freeware | No ❌ | ||
| Zipware | 1.6 | freeware | No ❌ |
| Nome | Versione testata | Comportamento di propagazione di MOTW |
|---|
| Funzione integrata "Extract all" di Esplora file di Windows | Windows 11 25H2 |
|
| 7-Zip | 26.02 |
|
| Bandizip | Standard Edition 7.45 |
|
| CubeICE | 3.6.1 |
|
| Explzh | 10.01 |
|
| File Compact | 8.00 |
|
| NanaZip | 6.5.1767.0 |
|
| PeaZip | 11.2.0 |
|
| TC4Shell | 21.3.0 (versione di prova) |
|
| Total Commander | 11.58 (versione di prova) |
|
| WinRAR | 7.23 (versione di prova) |
|
| WinZip | 77.0 (versione di prova) |
|
Fornisci i dettagli tramite Issues o la correzione tramite Pull requests. Sarò felice di correggerle.
Sì. Se il formato di un file immagine disco non supporta il flusso di dati alternativo NTFS, MOTW non viene impostato per i file nel file immagine disco. Vedi anche quanto segue:
Aggiornamento dell'11 aprile 2022:
Secondo l'articolo del blog .ISO Files With Office Maldocs & Protected View in Office 2019 and 2021 di Didier Stevens (@DidierStevens), Office 2019 e 2021 utilizzano la visualizzazione protetta per aprire i documenti Office memorizzati all'interno di un file ISO con MOTW. Questo comportamento è stato introdotto nell'agosto 2021.
Aggiornamento del 30 novembre 2022:
Secondo il tweet di Bill Demirkapi (@BillDemirkapi), Microsoft ha corretto la gestione di MOTW per i file contenitore di dischi virtuali come ISO e VHD su Windows con gli aggiornamenti di sicurezza rilasciati l'8 novembre 2022. Quando le applicazioni aprono file all'interno di un file contenitore di disco virtuale scaricato da Internet, i file ereditano il MOTW del file contenitore di disco virtuale.
