nmantani/archiver-motw-support-comparisonСравнивает поддержку архиваторами Windows распространения метки Mark of the Web (MOTW), помогая командам оценить, какие инструменты сохраняют MOTW и снижают риски доставки вредоносных программ на основе макросов.
Английский | Японский
3 марта 2022 года Microsoft объявила, что поведение приложений Office в Windows по умолчанию будет изменено — макросы в файлах из интернета (например, во вложениях электронной почты) будут блокироваться.
Выдержка из объявления:
VBA-макросы — распространённый способ, которым злоумышленники получают доступ для развёртывания вредоносных программ и программ-вымогателей. Поэтому для повышения безопасности в Office мы меняем поведение приложений Office по умолчанию, чтобы блокировать макросы в файлах из интернета.
...
Это изменение затрагивает только Office на устройствах под управлением Windows и только следующие приложения: Access, Excel, PowerPoint, Visio и Word.
Изменение начнёт разворачиваться в версии 2203, начиная с Current Channel (Preview) в начале апреля 2022 года. Позже изменение станет доступно в других каналах обновления, таких как Current Channel и Monthly Enterprise Channel.
Это большое улучшение защиты от вредоносных файлов документов Office.
Согласно объявлению, блокировка макросов определяется атрибутом MOTW (Mark of the Web) файла. Такие приложения, как веб-браузеры и почтовые клиенты, устанавливают MOTW на загруженные файлы и вложения электронной почты, поступающие из интернета. MOTW хранится в NTFS-потоке альтернативных данных Zone.Identifier.
Чтобы блокировать макросы вредоносных файлов документов Office, извлечённых из архивных файлов, архиватор должен распространять MOTW на извлечённые файлы, если архивный файл имеет MOTW. Если архиватор не распространяет MOTW, вредоносные документы Office в архивных файлах могут обойти блокировку.
Возник вопрос: «Какой архиватор умеет распространять MOTW на извлечённые файлы?» Поэтому я протестировал некоторые архиваторы и обобщил результаты.
*1: Хотя 7-Zip поддерживает распространение MOTW начиная с версии 22.00, по умолчанию эта функция отключена. Вы можете включить её для графического интерфейса 7-Zip с помощью опции «Propagate Zone Id stream:» в меню «Tools» -> «Options» -> «7-Zip» в 7-Zip File Manager.
Если установить значение опции Yes, 7-Zip распространяет MOTW на все извлечённые файлы. Если установить значение «For Office files», 7-Zip распространяет MOTW на файлы со следующими расширениями:
Вы также можете включить распространение MOTW, установив в реестре значение DWORD HKEY_CURRENT_USER\SOFTWARE\7-Zip\Options\WriteZoneIdExtract равным 1.
Для 7-Zip CLI для распространения MOTW требуется параметр -snz независимо от указанной выше опции.
*2: Согласно документации Bandizip, Bandizip распространяет MOTW на файлы со следующими расширениями:
Ранее я тестировал Bandizip с ZIP-архивом, содержащим только текстовые файлы, и ошибочно решил, что Bandizip не распространяет MOTW.
*3: В NanaZip распространение MOTW включено по умолчанию начиная с версии 6.0 Preview 1. Вы можете настроить его с помощью опции «Propagate Zone Id stream» в меню «Options» -> «Integration» графического интерфейса NanaZip.
Если установить значение «For unsafe files», NanaZip распространяет MOTW на файлы со следующими расширениями:
NanaZip поддерживает общесистемные политики через реестр. Эти политики имеют приоритет над пользовательскими настройками.
*4: В WinRAR 7.0 появилась опция «Propagate Mark of the Web». Вы можете выбрать следующие значения:
Опция поддерживается только графическим интерфейсом WinRAR. WinRAR CLI не распространяет MOTW независимо от этой опции.
Значение по умолчанию — «For executable and office files», и WinRAR распространяет MOTW на файлы со следующими расширениями:
Если установить значение «For office files», WinRAR распространяет MOTW на файлы со следующими расширениями:
Вы можете указать расширения файлов, если установите значение «For user defined types».
*5: В IZArc версии 4.6 появилась опция «Propagate Mark of the Web», и она включена по умолчанию. Однако похоже, что IZArc не распространяет MOTW независимо от этой опции.
В этих примерах MOTW был вручную установлен для ZIP-архива motw-test.zip с помощью Set-MOTW.ps1, после чего MOTW извлечённого файла отображается с помощью Get-MOTW.ps1. Set-MOTW.ps1 и Get-MOTW.ps1 доступны в моём репозитории PS-MOTW.
MOTW файла, извлечённого с помощью проводника Windows или WinZip (кроме версии 28.0):
MOTW файла, извлечённого с помощью 7-Zip, Bandizip, File Compact, NanaZip или PeaZip:
MOTW файла, извлечённого с помощью CubeICE, Explzh, TC4Shell или WinRAR:
MOTW файла, извлечённого с помощью Total Commander:
Пожалуйста, посмотрите эти статьи в блогах:
Они очень помогают понять эту тему.
Пожалуйста, предоставьте результаты своего тестирования через Issues или Pull requests. Поскольку я японец, в сравнительной таблице есть некоторое японское ПО для архивации, о котором вы можете не знать.
Пожалуйста, посмотрите Details about the Mark-of-the-Web (MOTW). Там сравнивается поведение встроенной утилиты распаковки Windows и 7-zip. Вы можете протестировать свой любимый архиватор аналогичным образом.
Я создал PS-MOTW — PowerShell-скрипты для ручной установки / отображения / удаления MOTW. Вы можете использовать их для тестирования архиваторов.
Макросы из интернета будут блокироваться по умолчанию в Office
https://docs.microsoft.com/en-us/deployoffice/security/internet-macros-blocked
Details about the Mark-of-the-Web (MOTW)
https://nolongerset.com/mark-of-the-web-details/
Downloads and the Mark-of-the-Web
https://textslashplain.com/2016/04/04/downloads-and-the-mark-of-the-web/
Mark-of-the-Web from a red team’s perspective
https://outflank.nl/blog/2020/03/30/mark-of-the-web-from-a-red-teams-perspective/
The Dangers of VHD and VHDX Files
https://insights.sei.cmu.edu/blog/the-dangers-of-vhd-and-vhdx-files/
Subvert Trust Controls: Mark-of-the-Web Bypass
https://attack.mitre.org/techniques/T1553/005/
Нобутака Мантани (@nmantani)
| Имя | Протестированная версия | Лицензия | Распространение MOTW | Включено по умолчанию | Примечание |
|---|
| Встроенная функция «Извлечь все» в проводнике Windows | Windows 11 25H2 | проприетарная | Да ✔️ | Да ✔️ | |
| 7-Zip | 26.02 | GNU LGPL | Да ✔️ | Нет ❌ *1 | |
| Bandizip | Standard Edition 7.45 | бесплатное ПО | Да ✔️ | Да ✔️ | Только для определённых расширений файлов *2 |
| CubeICE | 3.6.1 | бесплатное ПО / проприетарная | Да ✔️ | Да ✔️ | |
| Explzh | 10.01 | проприетарная для коммерческого использования | Да ✔️ | Да ✔️ | |
| File Compact | 8.00 | проприетарная | Да ✔️ | Да ✔️ | |
| NanaZip | 6.5.1767.0 | MIT | Да ✔️ | Да ✔️ | Настраивается для распространения на определённые расширения файлов *3 |
| PeaZip | 11.2.0 | GNU LGPL | Да ✔️ | Да ✔️ | |
| TC4Shell | 21.3.0 (пробная версия) | проприетарная | Да ✔️ | Да ✔️ | |
| Total Commander | 11.58 (пробная версия) | проприетарная | Да ✔️ | Да ✔️ | |
| WinRAR | 7.23 (пробная версия) | проприетарная | Да ✔️ | Да ✔️ | По умолчанию только для определённых расширений файлов *4 |
| WinZip | 77.0 (пробная версия) | проприетарная | Да ✔️ | Да ✔️ | |
| Ashampoo ZIP Free | 1.0.7 | бесплатное ПО (требуется регистрация) | Нет ❌ | ||
| CAM UnZip | 5.25.4.0 | проприетарная для коммерческого использования | Нет ❌ | ||
| Командлет Expand-Archive из PowerShell | 7.6.4 | MIT | Нет ❌ | ||
| Express Zip | 11.28 | проприетарная для коммерческого использования | Нет ❌ | ||
| IZArc | 4.6 | бесплатное ПО | Нет ❌ | Несмотря на наличие опции «Propagate Mark of the Web» *5 | |
| LhaForge | 2.0.1 | MIT | Нет ❌ | ||
| Lhaplus | 1.74 | бесплатное ПО | Нет ❌ | ||
| PowerArchiver | 22.10.02 (пробная версия) | проприетарная | Нет ❌ | ||
| StuffIt Expander | 15.0.8 | бесплатное ПО | Нет ❌ | ||
| tar.exe (bsdtar) из Windows 11 | 3.8.4 | BSD 2-clause | Нет ❌ | ||
| Universal Extractor 2 | 2.0.0 RC 3 | GNU GPLv2 | Нет ❌ | ||
| ZipGenious | 6.3.2.3116 | бесплатное ПО | Нет ❌ | ||
| Zipware | 1.6 | бесплатное ПО | Нет ❌ |
| Имя | Протестированная версия | Поведение при распространении MOTW |
|---|
| Встроенная функция «Извлечь все» в проводнике Windows | Windows 11 25H2 |
|
| 7-Zip | 26.02 |
|
| Bandizip | Standard Edition 7.45 |
|
| CubeICE | 3.6.1 |
|
| Explzh | 10.01 |
|
| File Compact | 8.00 |
|
| NanaZip | 6.5.1767.0 |
|
| PeaZip | 11.2.0 |
|
| TC4Shell | 21.3.0 (пробная версия) |
|
| Total Commander | 11.58 (пробная версия) |
|
| WinRAR | 7.23 (пробная версия) |
|
| WinZip | 77.0 (пробная версия) |
|
Пожалуйста, предоставьте подробности через Issues или исправление через Pull requests. Я с радостью всё исправлю.
Да. Если формат файла образа диска не поддерживает NTFS-поток альтернативных данных, MOTW не устанавливается для файлов внутри образа диска. Смотрите также:
Обновление от 11 апреля 2022 года:
Согласно статье в блоге .ISO Files With Office Maldocs & Protected View in Office 2019 and 2021 Дидье Стивенса (@DidierStevens), Office 2019 и 2021 используют защищённое представление (protected view) для открытия документов Office, хранящихся внутри ISO-файла с MOTW. Это поведение было введено в августе 2021 года.
Обновление от 30 ноября 2022 года:
Согласно твиту Билла Демиркапи (@BillDemirkapi), Microsoft исправила обработку MOTW для файлов виртуальных дисков, таких как ISO и VHD, в Windows в рамках обновлений безопасности, выпущенных 8 ноября 2022 года. Когда приложения открывают файлы внутри файла виртуального диска, загруженного из интернета, эти файлы наследуют MOTW файла виртуального диска.
