nmantani/archiver-motw-support-comparisonCompara o suporte de compactadores de arquivos do Windows à propagação da Marca da Web (MOTW), ajudando as equipes a avaliar quais ferramentas preservam o MOTW e mitigam a distribuição de malware baseado em macros.
Inglês | Japonês
Em 3 de março de 2022, a Microsoft anunciou que o comportamento padrão dos aplicativos do Office no Windows será alterado para bloquear macros em arquivos da internet (como anexos de e-mail).
Um trecho do anúncio:
As macros VBA são uma forma comum de atores mal-intencionados obterem acesso para implantar malware e ransomware. Portanto, para ajudar a melhorar a segurança no Office, estamos alterando o comportamento padrão dos aplicativos do Office para bloquear macros em arquivos da internet.
...
Esta alteração afeta apenas o Office em dispositivos com Windows e afeta apenas os seguintes aplicativos: Access, Excel, PowerPoint, Visio e Word.
A alteração começará a ser implementada na Versão 2203, começando pelo Current Channel (Preview) no início de abril de 2022. Posteriormente, a alteração estará disponível nos outros canais de atualização, como Current Channel e Monthly Enterprise Channel.
Esta é uma grande melhoria na defesa contra arquivos de documentos maliciosos do Office.
De acordo com o anúncio, o bloqueio ou não de macros é determinado com base no atributo MOTW (Mark of the Web) do arquivo. Aplicativos como navegadores web e clientes de e-mail aplicam MOTW em arquivos baixados e anexos de e-mail provenientes da internet. O MOTW é armazenado no fluxo de dados alternativo Zone.Identifier do NTFS.
Para bloquear macros de documentos maliciosos do Office extraídos de arquivos compactados, o software de arquivamento deve propagar o MOTW para os arquivos extraídos quando o arquivo compactado tiver MOTW. Se o software de arquivamento não propagar o MOTW, documentos maliciosos do Office em arquivos compactados podem contornar o bloqueio.
Surgiu uma pergunta: "Qual software de arquivamento consegue propagar MOTW para arquivos extraídos?" Então testei alguns softwares de arquivamento e resumi o resultado.
*1: Embora o 7-Zip ofereça suporte à propagação de MOTW desde a versão 22.00, ela está desabilitada por padrão. Você pode habilitá-la na GUI do 7-Zip com a opção "Propagate Zone Id stream:" em "Tools" -> "Options" -> "7-Zip" do 7-Zip File Manager.
Quando você define a opção como Yes, o 7-Zip propaga MOTW para todos os arquivos extraídos. Quando você a define como "For Office files", o 7-Zip propaga MOTW para arquivos com as seguintes extensões:
Você também pode habilitar a propagação de MOTW definindo o valor DWORD HKEY_CURRENT_USER\SOFTWARE\7-Zip\Options\WriteZoneIdExtract do registro como 1.
Para a CLI do 7-Zip, o parâmetro -snz é necessário para propagar MOTW independentemente da opção acima.
*2: De acordo com o documento do Bandizip, o Bandizip propaga MOTW para arquivos com as seguintes extensões:
Anteriormente, testei o Bandizip com um arquivo ZIP que continha apenas arquivos de texto e entendi erroneamente que o Bandizip não propaga MOTW.
*3: O NanaZip habilitou a propagação de MOTW por padrão desde a versão 6.0 Preview 1. Você pode configurá-la com a opção "Propagate Zone Id stream" em "Options" -> "Integration" da GUI do NanaZip.
Quando você a define como "For unsafe files", o NanaZip propaga MOTW para arquivos com as seguintes extensões:
O NanaZip oferece suporte a políticas de todo o sistema por meio do registro. Essas políticas substituem as configurações do usuário.
*4: O WinRAR 7.0 introduziu a opção "Propagate Mark of the Web". Você pode escolher os seguintes valores:
A opção é suportada apenas pela GUI do WinRAR. A CLI do WinRAR não propaga MOTW independentemente da opção.
O padrão é "For executable and office files" e o WinRAR propaga MOTW para arquivos com as seguintes extensões:
Quando você define a opção como "For office files", o WinRAR propaga MOTW para arquivos com as seguintes extensões:
Você pode especificar extensões de arquivo ao definir a opção como "For user defined types".
*5: A versão 4.6 do IZArc introduziu a opção "Propagate Mark of the Web", que está habilitada por padrão. No entanto, parece que o IZArc não propaga MOTW independentemente da opção.
Nestes exemplos, o MOTW foi definido manualmente para um arquivo ZIP motw-test.zip com o Set-MOTW.ps1 e, em seguida, o MOTW de um arquivo extraído é exibido com o Get-MOTW.ps1. O Set-MOTW.ps1 e o Get-MOTW.ps1 estão disponíveis no meu repositório PS-MOTW.
MOTW de um arquivo extraído com o Windows Explorer ou o WinZip (exceto versão 28.0):
MOTW de um arquivo extraído com o 7-Zip, Bandizip, File Compact, NanaZip ou PeaZip:
MOTW de um arquivo extraído com o CubeICE, Explzh, TC4Shell ou WinRAR:
MOTW de um arquivo extraído com o Total Commander:
Consulte estes artigos de blog:
Eles são muito úteis para entender o assunto.
Por favor, forneça seu resultado de teste por meio de Issues ou Pull requests. Como sou japonês, a tabela comparativa contém alguns softwares de arquivamento japoneses que talvez você não conheça.
Consulte Details about the Mark-of-the-Web (MOTW). Ele compara o comportamento do utilitário de descompactação integrado do Windows e do 7-zip. Você pode testar seu software de arquivamento favorito de maneira semelhante.
Criei o PS-MOTW, scripts PowerShell para definir / exibir / remover MOTW manualmente. Você pode usá-lo para testar softwares de arquivamento.
Macros from the internet will be blocked by default in Office
https://docs.microsoft.com/en-us/deployoffice/security/internet-macros-blocked
Details about the Mark-of-the-Web (MOTW)
https://nolongerset.com/mark-of-the-web-details/
Downloads and the Mark-of-the-Web
https://textslashplain.com/2016/04/04/downloads-and-the-mark-of-the-web/
Mark-of-the-Web from a red team’s perspective
https://outflank.nl/blog/2020/03/30/mark-of-the-web-from-a-red-teams-perspective/
The Dangers of VHD and VHDX Files
https://insights.sei.cmu.edu/blog/the-dangers-of-vhd-and-vhdx-files/
Subvert Trust Controls: Mark-of-the-Web Bypass
https://attack.mitre.org/techniques/T1553/005/
Nobutaka Mantani (@nmantani)
| Nome | Versão testada | Licença | Propagação de MOTW | Habilitado por padrão | Observações |
|---|
| Função integrada "Extrair tudo" do Windows Explorer | Windows 11 25H2 | proprietária | Sim ✔️ | Sim ✔️ | |
| 7-Zip | 26.02 | GNU LGPL | Sim ✔️ | Não ❌ *1 | |
| Bandizip | Standard Edition 7.45 | freeware | Sim ✔️ | Sim ✔️ | Somente para extensões de arquivo específicas *2 |
| CubeICE | 3.6.1 | freeware / proprietária | Sim ✔️ | Sim ✔️ | |
| Explzh | 10.01 | proprietária para uso comercial | Sim ✔️ | Sim ✔️ | |
| File Compact | 8.00 | proprietária | Sim ✔️ | Sim ✔️ | |
| NanaZip | 6.5.1767.0 | MIT | Sim ✔️ | Sim ✔️ | Configurável para propagar para extensões de arquivo específicas *3 |
| PeaZip | 11.2.0 | GNU LGPL | Sim ✔️ | Sim ✔️ | |
| TC4Shell | 21.3.0 (avaliação) | proprietária | Sim ✔️ | Sim ✔️ | |
| Total Commander | 11.58 (avaliação) | proprietária | Sim ✔️ | Sim ✔️ | |
| WinRAR | 7.23 (avaliação) | proprietária | Sim ✔️ | Sim ✔️ | Somente para extensões de arquivo específicas por padrão *4 |
| WinZip | 77.0 (avaliação) | proprietária | Sim ✔️ | Sim ✔️ | |
| Ashampoo ZIP Free | 1.0.7 | freeware (registro necessário) | Não ❌ | ||
| CAM UnZip | 5.25.4.0 | proprietária para uso comercial | Não ❌ | ||
| Cmdlet Expand-Archive do PowerShell | 7.6.4 | MIT | Não ❌ | ||
| Express Zip | 11.28 | proprietária para uso comercial | Não ❌ | ||
| IZArc | 4.6 | freeware | Não ❌ | Apesar da disponibilidade da opção "Propagate Mark of the Web" *5 | |
| LhaForge | 2.0.1 | MIT | Não ❌ | ||
| Lhaplus | 1.74 | freeware | Não ❌ | ||
| PowerArchiver | 22.10.02 (avaliação) | proprietária | Não ❌ | ||
| StuffIt Expander | 15.0.8 | freeware | Não ❌ | ||
| tar.exe (bsdtar) do Windows 11 | 3.8.4 | BSD 2-clause | Não ❌ | ||
| Universal Extractor 2 | 2.0.0 RC 3 | GNU GPLv2 | Não ❌ | ||
| ZipGenious | 6.3.2.3116 | freeware | Não ❌ | ||
| Zipware | 1.6 | freeware | Não ❌ |
| Nome | Versão testada | Comportamento da propagação de MOTW |
|---|
| Função integrada "Extrair tudo" do Windows Explorer | Windows 11 25H2 |
|
| 7-Zip | 26.02 |
|
| Bandizip | Standard Edition 7.45 |
|
| CubeICE | 3.6.1 |
|
| Explzh | 10.01 |
|
| File Compact | 8.00 |
|
| NanaZip | 6.5.1767.0 |
|
| PeaZip | 11.2.0 |
|
| TC4Shell | 21.3.0 (avaliação) |
|
| Total Commander | 11.58 (avaliação) |
|
| WinRAR | 7.23 (avaliação) |
|
| WinZip | 77.0 (avaliação) |
|
Por favor, forneça os detalhes por meio de Issues ou a correção por meio de Pull requests. Ficarei feliz em corrigir isso.
Sim. Se o formato de arquivo de uma imagem de disco não oferecer suporte a fluxo de dados alternativo do NTFS, o MOTW não será definido para os arquivos contidos na imagem de disco. Consulte também o seguinte:
Atualização em 11 de abril de 2022:
De acordo com o artigo de blog .ISO Files With Office Maldocs & Protected View in Office 2019 and 2021 por Didier Stevens (@DidierStevens), o Office 2019 e 2021 usam o Modo de Exibição Protegido para abrir documentos do Office armazenados em um arquivo ISO com MOTW. Esse comportamento foi introduzido em agosto de 2021.
Atualização em 30 de novembro de 2022:
De acordo com o tweet de Bill Demirkapi (@BillDemirkapi), a Microsoft corrigiu o tratamento do MOTW para arquivos de contêiner de disco virtual, como ISO e VHD, no Windows por meio das atualizações de segurança lançadas em 8 de novembro de 2022. Quando aplicativos abrem arquivos dentro de um arquivo de contêiner de disco virtual baixado da Internet, os arquivos herdarão o MOTW do arquivo de contêiner de disco virtual.
