nmantani/archiver-motw-support-comparisonWindows 아카이버의 Mark of the Web(MOTW) 전파 지원을 비교하여, 팀이 어떤 도구가 MOTW를 보존하는지 평가하고 매크로 기반 악성코드 전달을 완화할 수 있도록 지원합니다.
영어 | 일본어
2022년 3월 3일, Microsoft는 Windows의 Office 애플리케이션 기본 동작이 인터넷에서 가져온 파일(예: 이메일 첨부 파일)의 매크로를 차단하도록 변경될 것이라고 발표했습니다.
발표 내용 중 일부:
VBA 매크로는 악의적인 공격자가 멀웨어와 랜섬웨어를 배포하기 위해 접근하는 일반적인 방법입니다. 따라서 Office 보안을 개선하기 위해 Office 애플리케이션의 기본 동작을 인터넷에서 가져온 파일의 매크로를 차단하도록 변경하고 있습니다.
...
이 변경 사항은 Windows를 실행하는 디바이스의 Office에만 영향을 미치며 Access, Excel, PowerPoint, Visio 및 Word 애플리케이션에만 적용됩니다.
이 변경 사항은 2022년 4월 초 Current Channel(Preview)부터 시작하여 Version 2203에서 단계적으로 배포될 예정입니다. 이후 Current Channel 및 Monthly Enterprise Channel과 같은 다른 업데이트 채널에서도 제공될 예정입니다.
악성 Office 문서 파일에 대한 방어에 있어 큰 개선입니다.
발표에 따르면 매크로 차단 여부는 파일의 MOTW(웹 표시, Mark of the Web) 특성에 따라 결정됩니다. 웹 브라우저 및 이메일 클라이언트와 같은 애플리케이션은 인터넷에서 다운로드한 파일과 이메일 첨부 파일에 MOTW를 설정합니다. MOTW는 Zone.Identifier NTFS 대체 데이터 스트림에 저장됩니다.
아카이브 파일에서 추출된 악성 Office 문서 파일의 매크로를 차단하려면 아카이버 소프트웨어가 아카이브 파일에 MOTW가 있을 때 추출된 파일로 MOTW를 전파해야 합니다. 아카이버 소프트웨어가 MOTW를 전파하지 않으면 아카이브 파일 내의 악성 Office 문서가 차단을 우회할 수 있습니다.
**"어떤 아카이버 소프트웨어가 추출된 파일로 MOTW를 전파할 수 있을까?"**라는 질문이 제기되었습니다. 그래서 몇 가지 아카이버 소프트웨어를 테스트하고 결과를 정리했습니다.
| 이름 | 테스트 버전 | 라이선스 | MOTW 전파 | 기본 활성화 | 비고 |
|---|---|---|---|---|---|
| Windows 탐색기의 "모두 추출" 기본 기능 | Windows 11 25H2 | 독점 | 예 ✔️ | 예 ✔️ | |
| 7-Zip | 26.02 | GNU LGPL | 예 ✔️ | 아니요 ❌ *1 | |
| Bandizip | Standard Edition 7.45 | 프리웨어 | 예 ✔️ | 예 ✔️ | 특정 파일 확장자에만 해당 *2 |
| CubeICE | 3.6.1 | 프리웨어 / 독점 | 예 ✔️ | 예 ✔️ | |
| Explzh | 10.01 | 상업용 독점 | 예 ✔️ | 예 ✔️ | |
| File Compact | 8.00 | 독점 | 예 ✔️ | 예 ✔️ | |
| NanaZip | 6.5.1767.0 | MIT | 예 ✔️ | 예 ✔️ | 특정 파일 확장자에 대해 전파하도록 구성 가능 *3 |
| PeaZip | 11.2.0 | GNU LGPL | 예 ✔️ | 예 ✔️ | |
| TC4Shell | 21.3.0(평가판) | 독점 | 예 ✔️ | 예 ✔️ | |
| Total Commander | 11.58(평가판) | 독점 | 예 ✔️ | 예 ✔️ | |
| WinRAR | 7.23(평가판) | 독점 | 예 ✔️ | 예 ✔️ | 기본적으로 특정 파일 확장자에만 해당 *4 |
| WinZip | 77.0(평가판) | 독점 | 예 ✔️ | 예 ✔️ | |
| Ashampoo ZIP Free | 1.0.7 | 프리웨어(등록 필요) | 아니요 ❌ | ||
| CAM UnZip | 5.25.4.0 | 상업용 독점 | 아니요 ❌ | ||
| PowerShell의 Expand-Archive cmdlet | 7.6.4 | MIT | 아니요 ❌ | ||
| Express Zip | 11.28 | 상업용 독점 | 아니요 ❌ | ||
| IZArc | 4.6 | 프리웨어 | 아니요 ❌ | "웹 표시 전파(Propagate Mark of the Web)" 옵션이 제공됨에도 불구하고 *5 | |
| LhaForge | 2.0.1 | MIT | 아니요 ❌ | ||
| Lhaplus | 1.74 | 프리웨어 | 아니요 ❌ | ||
| PowerArchiver | 22.10.02(평가판) | 독점 | 아니요 ❌ | ||
| StuffIt Expander | 15.0.8 | 프리웨어 | 아니요 ❌ | ||
| Windows 11의 tar.exe(bsdtar) | 3.8.4 | BSD 2-clause | 아니요 ❌ | ||
| Universal Extractor 2 | 2.0.0 RC 3 | GNU GPLv2 | 아니요 ❌ | ||
| ZipGenious | 6.3.2.3116 | 프리웨어 | 아니요 ❌ | ||
| Zipware | 1.6 | 프리웨어 | 아니요 ❌ |
*1: 7-Zip은 버전 22.00부터 MOTW 전파를 지원하지만 기본적으로 비활성화되어 있습니다. 7-Zip File Manager의 "도구(Tools)" -> "옵션(Options)" -> "7-Zip"에 있는 "Propagate Zone Id stream:" 옵션을 통해 7-Zip GUI에서 활성화할 수 있습니다.
옵션을 Yes로 설정하면 7-Zip은 모든 추출 파일에 MOTW를 전파합니다. "For Office files"로 설정하면 7-Zip은 다음 파일 확장자를 가진 파일에 MOTW를 전파합니다:
레지스트리 HKEY_CURRENT_USER\SOFTWARE\7-Zip\Options\WriteZoneIdExtract DWORD를 1로 설정하여 MOTW 전파를 활성화할 수도 있습니다.
7-Zip CLI의 경우 위 옵션과 관계없이 MOTW를 전파하려면 -snz 스위치가 필요합니다.
*2: Bandizip 문서에 따르면 Bandizip은 다음 파일 확장자를 가진 파일에 MOTW를 전파합니다:
저는 이전에 텍스트 파일만 포함된 ZIP 아카이브 파일로 Bandizip을 테스트했으며, Bandizip이 MOTW를 전파하지 않는다고 잘못 이해했습니다.
*3: NanaZip은 버전 6.0 Preview 1부터 기본적으로 MOTW 전파를 활성화했습니다. NanaZip GUI의 "옵션(Options)" -> "통합(Integration)"에 있는 "Propagate Zone Id stream" 옵션으로 구성할 수 있습니다.
"For unsafe files"로 설정하면 NanaZip은 다음 파일 확장자를 가진 파일에 MOTW를 전파합니다:
NanaZip은 레지스트리를 통한 시스템 전체 정책을 지원합니다. 이러한 정책은 사용자 설정보다 우선합니다.
*4: WinRAR 7.0에서 "웹 표시 전파(Propagate Mark of the Web)" 옵션이 도입되었습니다. 다음 값 중에서 선택할 수 있습니다:
이 옵션은 WinRAR GUI에서만 지원됩니다. WinRAR CLI는 옵션과 관계없이 MOTW를 전파하지 않습니다.
기본값은 "실행 파일 및 Office 파일에(For executable and office files)"이며 WinRAR은 다음 파일 확장자를 가진 파일에 MOTW를 전파합니다:
옵션을 "Office 파일에만(For office files)"으로 설정하면 WinRAR은 다음 파일 확장자를 가진 파일에 MOTW를 전파합니다:
옵션을 "사용자 정의 형식에(For user defined types)"로 설정하면 파일 확장자를 지정할 수 있습니다.
*5: IZArc 버전 4.6에서 "웹 표시 전파(Propagate Mark of the Web)" 옵션이 도입되었으며 기본적으로 활성화되어 있습니다. 그러나 IZArc는 옵션과 관계없이 MOTW를 전파하지 않는 것으로 보입니다.
