CVE-2025-0411：7-Zip MoTW 绕过漏洞

简介

CVE-2025-0411 是 7-Zip 中的一个缺陷，可绕过 Windows 的“网络标记”(MoTW)，使来自特制存档的恶意文件能够在无警告的情况下执行。该漏洞已在 SmokeLoader 攻击活动中被利用，由于 7-Zip 缺乏自动更新机制，因此存在风险。

什么是 MoTW？

MoTW 通过备用数据流 (ADS) 将互联网下载的文件标记为不安全，从而触发警告或受保护视图。只有在文件处理过程中保留该标记时才有效。

技术细节

7-Zip 未能将 MoTW 的 Zone.Identifier ADS 传播到从嵌套存档中解压出的文件，从而导致恶意内容可被静默执行。

现实世界中的利用

• 恶意软件： SmokeLoader 攻击活动，与 UAC-0006 相关，利用伪装文件针对乌克兰。
• 过往漏洞利用： 与 CVE-2024-38213 和 CVE-2024-21412（DarkGate）类似。

对手技术

• 使用不携带 MoTW 的非 NTFS 容器（.iso、.vhd）。
• 利用 7-Zip 等归档工具去除 MoTW。
• 通过 HTML 走私，借助 JavaScript 绕过 MoTW。

防御措施

• 更新软件： 手动修补 7-Zip。
• 组策略： 强制实施 MoTW 处理。
• 威胁防护： 检查容器文件。
• 用户培训： 避免不受信任的文件。

结论

CVE-2025-0411 展示了 MoTW 绕过的危险性。由于已有补丁但无自动更新机制，主动更新和提高安全意识是降低风险的关键。