nmantani/archiver-motw-support-comparisonWindows 아카이버의 Mark of the Web(MOTW) 전파 지원을 비교하여, 팀이 어떤 도구가 MOTW를 보존하는지 평가하고 매크로 기반 악성코드 전달을 완화할 수 있도록 지원합니다.
영어 | 일본어
2022년 3월 3일, Microsoft는 Windows의 Office 애플리케이션 기본 동작이 인터넷에서 가져온 파일(예: 이메일 첨부 파일)의 매크로를 차단하도록 변경될 것이라고 발표했습니다.
발표 내용 중 일부:
VBA 매크로는 악의적인 공격자가 멀웨어와 랜섬웨어를 배포하기 위해 접근하는 일반적인 방법입니다. 따라서 Office 보안을 개선하기 위해 Office 애플리케이션의 기본 동작을 인터넷에서 가져온 파일의 매크로를 차단하도록 변경하고 있습니다.
...
이 변경 사항은 Windows를 실행하는 디바이스의 Office에만 영향을 미치며 Access, Excel, PowerPoint, Visio 및 Word 애플리케이션에만 적용됩니다.
이 변경 사항은 2022년 4월 초 Current Channel(Preview)부터 시작하여 Version 2203에서 단계적으로 배포될 예정입니다. 이후 Current Channel 및 Monthly Enterprise Channel과 같은 다른 업데이트 채널에서도 제공될 예정입니다.
악성 Office 문서 파일에 대한 방어에 있어 큰 개선입니다.
발표에 따르면 매크로 차단 여부는 파일의 MOTW(웹 표시, Mark of the Web) 특성에 따라 결정됩니다. 웹 브라우저 및 이메일 클라이언트와 같은 애플리케이션은 인터넷에서 다운로드한 파일과 이메일 첨부 파일에 MOTW를 설정합니다. MOTW는 Zone.Identifier NTFS 대체 데이터 스트림에 저장됩니다.
아카이브 파일에서 추출된 악성 Office 문서 파일의 매크로를 차단하려면 아카이버 소프트웨어가 아카이브 파일에 MOTW가 있을 때 추출된 파일로 MOTW를 전파해야 합니다. 아카이버 소프트웨어가 MOTW를 전파하지 않으면 아카이브 파일 내의 악성 Office 문서가 차단을 우회할 수 있습니다.
**"어떤 아카이버 소프트웨어가 추출된 파일로 MOTW를 전파할 수 있을까?"**라는 질문이 제기되었습니다. 그래서 몇 가지 아카이버 소프트웨어를 테스트하고 결과를 정리했습니다.
*1: 7-Zip은 버전 22.00부터 MOTW 전파를 지원하지만 기본적으로 비활성화되어 있습니다. 7-Zip File Manager의 "도구(Tools)" -> "옵션(Options)" -> "7-Zip"에 있는 "Propagate Zone Id stream:" 옵션을 통해 7-Zip GUI에서 활성화할 수 있습니다.
옵션을 Yes로 설정하면 7-Zip은 모든 추출 파일에 MOTW를 전파합니다. "For Office files"로 설정하면 7-Zip은 다음 파일 확장자를 가진 파일에 MOTW를 전파합니다:
레지스트리 HKEY_CURRENT_USER\SOFTWARE\7-Zip\Options\WriteZoneIdExtract DWORD를 1로 설정하여 MOTW 전파를 활성화할 수도 있습니다.
7-Zip CLI의 경우 위 옵션과 관계없이 MOTW를 전파하려면 -snz 스위치가 필요합니다.
*2: Bandizip 문서에 따르면 Bandizip은 다음 파일 확장자를 가진 파일에 MOTW를 전파합니다:
저는 이전에 텍스트 파일만 포함된 ZIP 아카이브 파일로 Bandizip을 테스트했으며, Bandizip이 MOTW를 전파하지 않는다고 잘못 이해했습니다.
*3: NanaZip은 버전 6.0 Preview 1부터 기본적으로 MOTW 전파를 활성화했습니다. NanaZip GUI의 "옵션(Options)" -> "통합(Integration)"에 있는 "Propagate Zone Id stream" 옵션으로 구성할 수 있습니다.
"For unsafe files"로 설정하면 NanaZip은 다음 파일 확장자를 가진 파일에 MOTW를 전파합니다:
NanaZip은 레지스트리를 통한 시스템 전체 정책을 지원합니다. 이러한 정책은 사용자 설정보다 우선합니다.
*4: WinRAR 7.0에서 "웹 표시 전파(Propagate Mark of the Web)" 옵션이 도입되었습니다. 다음 값 중에서 선택할 수 있습니다:
이 옵션은 WinRAR GUI에서만 지원됩니다. WinRAR CLI는 옵션과 관계없이 MOTW를 전파하지 않습니다.
기본값은 "실행 파일 및 Office 파일에(For executable and office files)"이며 WinRAR은 다음 파일 확장자를 가진 파일에 MOTW를 전파합니다:
옵션을 "Office 파일에만(For office files)"으로 설정하면 WinRAR은 다음 파일 확장자를 가진 파일에 MOTW를 전파합니다:
옵션을 "사용자 정의 형식에(For user defined types)"로 설정하면 파일 확장자를 지정할 수 있습니다.
*5: IZArc 버전 4.6에서 "웹 표시 전파(Propagate Mark of the Web)" 옵션이 도입되었으며 기본적으로 활성화되어 있습니다. 그러나 IZArc는 옵션과 관계없이 MOTW를 전파하지 않는 것으로 보입니다.
이 예시에서는 Set-MOTW.ps1로 ZIP 아카이브 파일 motw-test.zip에 MOTW를 수동으로 설정한 다음, Get-MOTW.ps1로 추출된 파일의 MOTW를 표시했습니다. Set-MOTW.ps1과 Get-MOTW.ps1은 제 PS-MOTW 저장소에서 사용할 수 있습니다.
다음 블로그 게시물을 참조하세요:
이해하는 데 매우 도움이 됩니다.
이슈(Issues) 또는 풀 리퀘스트(Pull requests)로 테스트 결과를 제공해 주세요. 저는 일본인이라 비교표에 여러분이 모를 수 있는 일본산 아카이버 소프트웨어가 일부 포함되어 있습니다.
웹 표시(MOTW)에 대한 세부 정보를 참조하세요. Windows 기본 압축 풀기 유틸리티와 7-zip의 동작을 비교합니다. 비슷한 방식으로 원하는 아카이버 소프트웨어를 테스트할 수 있습니다.
저는 MOTW를 수동으로 설정/표시/제거하는 PowerShell 스크립트인 PS-MOTW를 만들었습니다. 아카이버 소프트웨어 테스트에 사용할 수 있습니다.
Office에서 인터넷의 매크로가 기본적으로 차단됩니다
https://docs.microsoft.com/en-us/deployoffice/security/internet-macros-blocked
웹 표시(MOTW)에 대한 세부 정보
https://nolongerset.com/mark-of-the-web-details/
다운로드와 웹 표시
https://textslashplain.com/2016/04/04/downloads-and-the-mark-of-the-web/
레드팀 관점에서 본 웹 표시
https://outflank.nl/blog/2020/03/30/mark-of-the-web-from-a-red-teams-perspective/
VHD 및 VHDX 파일의 위험성
https://insights.sei.cmu.edu/blog/the-dangers-of-vhd-and-vhdx-files/
신뢰 제어 무력화: 웹 표시 우회
https://attack.mitre.org/techniques/T1553/005/
Nobutaka Mantani (@nmantani)
| 이름 | 테스트 버전 | 라이선스 | MOTW 전파 | 기본 활성화 | 비고 |
|---|
| Windows 탐색기의 "모두 추출" 기본 기능 | Windows 11 25H2 | 독점 | 예 ✔️ | 예 ✔️ | |
| 7-Zip | 26.02 | GNU LGPL | 예 ✔️ | 아니요 ❌ *1 | |
| Bandizip | Standard Edition 7.45 | 프리웨어 | 예 ✔️ | 예 ✔️ | 특정 파일 확장자에만 해당 *2 |
| CubeICE | 3.6.1 | 프리웨어 / 독점 | 예 ✔️ | 예 ✔️ | |
| Explzh | 10.01 | 상업용 독점 | 예 ✔️ | 예 ✔️ | |
| File Compact | 8.00 | 독점 | 예 ✔️ | 예 ✔️ | |
| NanaZip | 6.5.1767.0 | MIT | 예 ✔️ | 예 ✔️ | 특정 파일 확장자에 대해 전파하도록 구성 가능 *3 |
| PeaZip | 11.2.0 | GNU LGPL | 예 ✔️ | 예 ✔️ | |
| TC4Shell | 21.3.0(평가판) | 독점 | 예 ✔️ | 예 ✔️ | |
| Total Commander | 11.58(평가판) | 독점 | 예 ✔️ | 예 ✔️ | |
| WinRAR | 7.23(평가판) | 독점 | 예 ✔️ | 예 ✔️ | 기본적으로 특정 파일 확장자에만 해당 *4 |
| WinZip | 77.0(평가판) | 독점 | 예 ✔️ | 예 ✔️ | |
| Ashampoo ZIP Free | 1.0.7 | 프리웨어(등록 필요) | 아니요 ❌ | ||
| CAM UnZip | 5.25.4.0 | 상업용 독점 | 아니요 ❌ | ||
| PowerShell의 Expand-Archive cmdlet | 7.6.4 | MIT | 아니요 ❌ | ||
| Express Zip | 11.28 | 상업용 독점 | 아니요 ❌ | ||
| IZArc | 4.6 | 프리웨어 | 아니요 ❌ | "웹 표시 전파(Propagate Mark of the Web)" 옵션이 제공됨에도 불구하고 *5 | |
| LhaForge | 2.0.1 | MIT | 아니요 ❌ | ||
| Lhaplus | 1.74 | 프리웨어 | 아니요 ❌ | ||
| PowerArchiver | 22.10.02(평가판) | 독점 | 아니요 ❌ | ||
| StuffIt Expander | 15.0.8 | 프리웨어 | 아니요 ❌ | ||
| Windows 11의 tar.exe(bsdtar) | 3.8.4 | BSD 2-clause | 아니요 ❌ | ||
| Universal Extractor 2 | 2.0.0 RC 3 | GNU GPLv2 | 아니요 ❌ | ||
| ZipGenious | 6.3.2.3116 | 프리웨어 | 아니요 ❌ | ||
| Zipware | 1.6 | 프리웨어 | 아니요 ❌ |
| 이름 | 테스트 버전 | MOTW 전파 동작 |
|---|
| Windows 탐색기의 "모두 추출" 기본 기능 | Windows 11 25H2 |
|
| 7-Zip | 26.02 |
|
| Bandizip | Standard Edition 7.45 |
|
| CubeICE | 3.6.1 |
|
| Explzh | 10.01 |
|
| File Compact | 8.00 |
|
| NanaZip | 6.5.1767.0 |
|
| PeaZip | 11.2.0 |
|
| TC4Shell | 21.3.0(평가판) |
|
| Total Commander | 11.58(평가판) |
|
| WinRAR | 7.23(평가판) |
|
| WinZip | 77.0(평가판) |
|
이슈(Issues)에서 세부 정보를 제공하거나 풀 리퀘스트(Pull requests)에서 수정 사항을 제공해 주세요. 기꺼이 수정하겠습니다.
예. 디스크 이미지 파일의 파일 형식이 NTFS 대체 데이터 스트림을 지원하지 않으면 디스크 이미지 파일 내의 파일에 MOTW가 설정되지 않습니다. 다음도 참조하세요:
2022년 4월 11일 업데이트:
Didier Stevens(@DidierStevens)의 블로그 게시물 .ISO Files With Office Maldocs & Protected View in Office 2019 and 2021에 따르면 Office 2019 및 2021은 MOTW가 있는 ISO 파일 내부에 저장된 Office 문서를 열 때 보호된 보기(protected view)를 사용합니다. 이 동작은 2021년 8월에 도입되었습니다.
2022년 11월 30일 업데이트:
Bill Demirkapi(@BillDemirkapi)의 트윗에 따르면 Microsoft는 2022년 11월 8일에 배포된 보안 업데이트를 통해 Windows에서 ISO 및 VHD와 같은 가상 디스크 컨테이너 파일에 대한 MOTW 처리를 수정했습니다. 인터넷에서 다운로드한 가상 디스크 컨테이너 파일 내부의 파일을 애플리케이션이 열면 해당 파일은 가상 디스크 컨테이너 파일의 MOTW를 상속받습니다.
