nmantani/archiver-motw-support-comparisonCompara o suporte de compactadores de arquivos do Windows à propagação da Marca da Web (MOTW), ajudando as equipes a avaliar quais ferramentas preservam o MOTW e mitigam a distribuição de malware baseado em macros.
Inglês | Japonês
Em 3 de março de 2022, a Microsoft anunciou que o comportamento padrão dos aplicativos do Office no Windows será alterado para bloquear macros em arquivos da internet (como anexos de e-mail).
Um trecho do anúncio:
As macros VBA são uma forma comum de atores mal-intencionados obterem acesso para implantar malware e ransomware. Portanto, para ajudar a melhorar a segurança no Office, estamos alterando o comportamento padrão dos aplicativos do Office para bloquear macros em arquivos da internet.
...
Esta alteração afeta apenas o Office em dispositivos com Windows e afeta apenas os seguintes aplicativos: Access, Excel, PowerPoint, Visio e Word.
A alteração começará a ser implementada na Versão 2203, começando pelo Current Channel (Preview) no início de abril de 2022. Posteriormente, a alteração estará disponível nos outros canais de atualização, como Current Channel e Monthly Enterprise Channel.
Esta é uma grande melhoria na defesa contra arquivos de documentos maliciosos do Office.
De acordo com o anúncio, o bloqueio ou não de macros é determinado com base no atributo MOTW (Mark of the Web) do arquivo. Aplicativos como navegadores web e clientes de e-mail aplicam MOTW em arquivos baixados e anexos de e-mail provenientes da internet. O MOTW é armazenado no fluxo de dados alternativo Zone.Identifier do NTFS.
Para bloquear macros de documentos maliciosos do Office extraídos de arquivos compactados, o software de arquivamento deve propagar o MOTW para os arquivos extraídos quando o arquivo compactado tiver MOTW. Se o software de arquivamento não propagar o MOTW, documentos maliciosos do Office em arquivos compactados podem contornar o bloqueio.
Surgiu uma pergunta: "Qual software de arquivamento consegue propagar MOTW para arquivos extraídos?" Então testei alguns softwares de arquivamento e resumi o resultado.
| Nome | Versão testada | Licença | Propagação de MOTW | Habilitado por padrão | Observações |
|---|---|---|---|---|---|
| Função integrada "Extrair tudo" do Windows Explorer | Windows 11 25H2 | proprietária | Sim ✔️ | Sim ✔️ | |
| 7-Zip | 26.02 | GNU LGPL | Sim ✔️ | Não ❌ *1 | |
| Bandizip | Standard Edition 7.45 | freeware | Sim ✔️ | Sim ✔️ | Somente para extensões de arquivo específicas *2 |
| CubeICE | 3.6.1 | freeware / proprietária | Sim ✔️ | Sim ✔️ | |
| Explzh | 10.01 | proprietária para uso comercial | Sim ✔️ | Sim ✔️ | |
| File Compact | 8.00 | proprietária | Sim ✔️ | Sim ✔️ | |
| NanaZip | 6.5.1767.0 | MIT | Sim ✔️ | Sim ✔️ | Configurável para propagar para extensões de arquivo específicas *3 |
| PeaZip | 11.2.0 | GNU LGPL | Sim ✔️ | Sim ✔️ | |
| TC4Shell | 21.3.0 (avaliação) | proprietária | Sim ✔️ | Sim ✔️ | |
| Total Commander | 11.58 (avaliação) | proprietária | Sim ✔️ | Sim ✔️ | |
| WinRAR | 7.23 (avaliação) | proprietária | Sim ✔️ | Sim ✔️ | Somente para extensões de arquivo específicas por padrão *4 |
| WinZip | 77.0 (avaliação) | proprietária | Sim ✔️ | Sim ✔️ | |
| Ashampoo ZIP Free | 1.0.7 | freeware (registro necessário) | Não ❌ | ||
| CAM UnZip | 5.25.4.0 | proprietária para uso comercial | Não ❌ | ||
| Cmdlet Expand-Archive do PowerShell | 7.6.4 | MIT | Não ❌ | ||
| Express Zip | 11.28 | proprietária para uso comercial | Não ❌ | ||
| IZArc | 4.6 | freeware | Não ❌ | Apesar da disponibilidade da opção "Propagate Mark of the Web" *5 | |
| LhaForge | 2.0.1 | MIT | Não ❌ | ||
| Lhaplus | 1.74 | freeware | Não ❌ | ||
| PowerArchiver | 22.10.02 (avaliação) | proprietária | Não ❌ | ||
| StuffIt Expander | 15.0.8 | freeware | Não ❌ | ||
| tar.exe (bsdtar) do Windows 11 | 3.8.4 | BSD 2-clause | Não ❌ | ||
| Universal Extractor 2 | 2.0.0 RC 3 | GNU GPLv2 | Não ❌ | ||
| ZipGenious | 6.3.2.3116 | freeware | Não ❌ | ||
| Zipware | 1.6 | freeware | Não ❌ |
*1: Embora o 7-Zip ofereça suporte à propagação de MOTW desde a versão 22.00, ela está desabilitada por padrão. Você pode habilitá-la na GUI do 7-Zip com a opção "Propagate Zone Id stream:" em "Tools" -> "Options" -> "7-Zip" do 7-Zip File Manager.
Quando você define a opção como Yes, o 7-Zip propaga MOTW para todos os arquivos extraídos. Quando você a define como "For Office files", o 7-Zip propaga MOTW para arquivos com as seguintes extensões:
Você também pode habilitar a propagação de MOTW definindo o valor DWORD HKEY_CURRENT_USER\SOFTWARE\7-Zip\Options\WriteZoneIdExtract do registro como 1.
Para a CLI do 7-Zip, o parâmetro -snz é necessário para propagar MOTW independentemente da opção acima.
*2: De acordo com o documento do Bandizip, o Bandizip propaga MOTW para arquivos com as seguintes extensões:
Anteriormente, testei o Bandizip com um arquivo ZIP que continha apenas arquivos de texto e entendi erroneamente que o Bandizip não propaga MOTW.
*3: O NanaZip habilitou a propagação de MOTW por padrão desde a versão 6.0 Preview 1. Você pode configurá-la com a opção "Propagate Zone Id stream" em "Options" -> "Integration" da GUI do NanaZip.
Quando você a define como "For unsafe files", o NanaZip propaga MOTW para arquivos com as seguintes extensões:
O NanaZip oferece suporte a políticas de todo o sistema por meio do registro. Essas políticas substituem as configurações do usuário.
