CVE-2025-0411: Уязвимость обхода MoTW в 7-Zip

Введение

CVE-2025-0411 — это недостаток в 7-Zip, который обходит функцию «Метка из интернета» (Mark-of-the-Web, MoTW) Windows, позволяя вредоносным файлам из специально созданных архивов выполняться без предупреждений. Используется в кампаниях SmokeLoader, представляет угрозу из-за отсутствия автоматических обновлений в 7-Zip.

Что такое MoTW?

MoTW помечает файлы, загруженные из интернета, как небезопасные с помощью альтернативного потока данных (ADS), что вызывает предупреждения или защищённый просмотр. Это эффективно только при сохранении метки во время обработки файлов.

Технические подробности

7-Zip не распространяет ADS Zone.Identifier MoTW на файлы, извлечённые из вложенных архивов, что позволяет незаметно выполнять вредоносное содержимое.

Эксплуатация в реальном мире

• Вредоносное ПО: Кампании SmokeLoader, связанные с UAC-0006, нацелены на Украину с помощью замаскированных файлов.
• Прошлые эксплойты: Аналогичны CVE-2024-38213 и CVE-2024-21412 (DarkGate).

Методы атакующих

• Использование контейнеров не в NTFS (.iso, .vhd), которые не несут MoTW.
• Эксплуатация инструментов архивации, таких как 7-Zip, для удаления MoTW.
• HTML-смуглинг для обхода MoTW через JavaScript.

Меры защиты

• Обновление ПО: Вручную установите патч для 7-Zip.
• Групповые политики: Принудительная обработка MoTW.
• Защита от угроз: Проверка файлов-контейнеров.
• Обучение пользователей: Избегайте недоверенных файлов.

Заключение

CVE-2025-0411 демонстрирует опасность обхода MoTW. Несмотря на наличие патча и отсутствие автоматических обновлений, ключевыми мерами снижения риска являются упреждающие обновления и осведомлённость.