nmantani/archiver-motw-support-comparisonСравнивает поддержку архиваторами Windows распространения метки Mark of the Web (MOTW), помогая командам оценить, какие инструменты сохраняют MOTW и снижают риски доставки вредоносных программ на основе макросов.
Английский | Японский
3 марта 2022 года Microsoft объявила, что поведение приложений Office в Windows по умолчанию будет изменено — макросы в файлах из интернета (например, во вложениях электронной почты) будут блокироваться.
Выдержка из объявления:
VBA-макросы — распространённый способ, которым злоумышленники получают доступ для развёртывания вредоносных программ и программ-вымогателей. Поэтому для повышения безопасности в Office мы меняем поведение приложений Office по умолчанию, чтобы блокировать макросы в файлах из интернета.
...
Это изменение затрагивает только Office на устройствах под управлением Windows и только следующие приложения: Access, Excel, PowerPoint, Visio и Word.
Изменение начнёт разворачиваться в версии 2203, начиная с Current Channel (Preview) в начале апреля 2022 года. Позже изменение станет доступно в других каналах обновления, таких как Current Channel и Monthly Enterprise Channel.
Это большое улучшение защиты от вредоносных файлов документов Office.
Согласно объявлению, блокировка макросов определяется атрибутом MOTW (Mark of the Web) файла. Такие приложения, как веб-браузеры и почтовые клиенты, устанавливают MOTW на загруженные файлы и вложения электронной почты, поступающие из интернета. MOTW хранится в NTFS-потоке альтернативных данных Zone.Identifier.
Чтобы блокировать макросы вредоносных файлов документов Office, извлечённых из архивных файлов, архиватор должен распространять MOTW на извлечённые файлы, если архивный файл имеет MOTW. Если архиватор не распространяет MOTW, вредоносные документы Office в архивных файлах могут обойти блокировку.
Возник вопрос: «Какой архиватор умеет распространять MOTW на извлечённые файлы?» Поэтому я протестировал некоторые архиваторы и обобщил результаты.
| Имя | Протестированная версия | Лицензия | Распространение MOTW | Включено по умолчанию | Примечание |
|---|---|---|---|---|---|
| Встроенная функция «Извлечь все» в проводнике Windows | Windows 11 25H2 | проприетарная | Да ✔️ | Да ✔️ | |
| 7-Zip | 26.02 | GNU LGPL | Да ✔️ | Нет ❌ *1 | |
| Bandizip | Standard Edition 7.45 | бесплатное ПО | Да ✔️ | Да ✔️ | Только для определённых расширений файлов *2 |
| CubeICE | 3.6.1 | бесплатное ПО / проприетарная | Да ✔️ | Да ✔️ | |
| Explzh | 10.01 | проприетарная для коммерческого использования | Да ✔️ | Да ✔️ | |
| File Compact | 8.00 | проприетарная | Да ✔️ | Да ✔️ | |
| NanaZip | 6.5.1767.0 | MIT | Да ✔️ | Да ✔️ | Настраивается для распространения на определённые расширения файлов *3 |
| PeaZip | 11.2.0 | GNU LGPL | Да ✔️ | Да ✔️ | |
| TC4Shell | 21.3.0 (пробная версия) | проприетарная | Да ✔️ | Да ✔️ | |
| Total Commander | 11.58 (пробная версия) | проприетарная | Да ✔️ | Да ✔️ | |
| WinRAR | 7.23 (пробная версия) | проприетарная | Да ✔️ | Да ✔️ | По умолчанию только для определённых расширений файлов *4 |
| WinZip | 77.0 (пробная версия) | проприетарная | Да ✔️ | Да ✔️ | |
| Ashampoo ZIP Free | 1.0.7 | бесплатное ПО (требуется регистрация) | Нет ❌ | ||
| CAM UnZip | 5.25.4.0 | проприетарная для коммерческого использования | Нет ❌ | ||
| Командлет Expand-Archive из PowerShell | 7.6.4 | MIT | Нет ❌ | ||
| Express Zip | 11.28 | проприетарная для коммерческого использования | Нет ❌ | ||
| IZArc | 4.6 | бесплатное ПО | Нет ❌ | Несмотря на наличие опции «Propagate Mark of the Web» *5 | |
| LhaForge | 2.0.1 | MIT | Нет ❌ | ||
| Lhaplus | 1.74 | бесплатное ПО | Нет ❌ | ||
| PowerArchiver | 22.10.02 (пробная версия) | проприетарная | Нет ❌ | ||
| StuffIt Expander | 15.0.8 | бесплатное ПО | Нет ❌ | ||
| tar.exe (bsdtar) из Windows 11 | 3.8.4 | BSD 2-clause | Нет ❌ | ||
| Universal Extractor 2 | 2.0.0 RC 3 | GNU GPLv2 | Нет ❌ | ||
| ZipGenious | 6.3.2.3116 | бесплатное ПО | Нет ❌ | ||
| Zipware | 1.6 | бесплатное ПО | Нет ❌ |
*1: Хотя 7-Zip поддерживает распространение MOTW начиная с версии 22.00, по умолчанию эта функция отключена. Вы можете включить её для графического интерфейса 7-Zip с помощью опции «Propagate Zone Id stream:» в меню «Tools» -> «Options» -> «7-Zip» в 7-Zip File Manager.
Если установить значение опции Yes, 7-Zip распространяет MOTW на все извлечённые файлы. Если установить значение «For Office files», 7-Zip распространяет MOTW на файлы со следующими расширениями:
Вы также можете включить распространение MOTW, установив в реестре значение DWORD HKEY_CURRENT_USER\SOFTWARE\7-Zip\Options\WriteZoneIdExtract равным 1.
Для 7-Zip CLI для распространения MOTW требуется параметр -snz независимо от указанной выше опции.
*2: Согласно документации Bandizip, Bandizip распространяет MOTW на файлы со следующими расширениями:
Ранее я тестировал Bandizip с ZIP-архивом, содержащим только текстовые файлы, и ошибочно решил, что Bandizip не распространяет MOTW.
*3: В NanaZip распространение MOTW включено по умолчанию начиная с версии 6.0 Preview 1. Вы можете настроить его с помощью опции «Propagate Zone Id stream» в меню «Options» -> «Integration» графического интерфейса NanaZip.
Если установить значение «For unsafe files», NanaZip распространяет MOTW на файлы со следующими расширениями:
NanaZip поддерживает общесистемные политики через реестр. Эти политики имеют приоритет над пользовательскими настройками.
