Знак Интернета
 |
Знак Интернета (MoTW) — это идентификатор, используемый Microsoft Windows для обозначения файлов, загруженных из Интернета, как потенциально небезопасных. Он реализован как альтернативный поток данных (ADS) NTFS Zone.Identifier, содержащий элемент идентификатора, который указывает (с помощью «Отметки»), что файл, сохраненный на компьютере, может содержать вредоносный или вредоносный контент, поскольку он был загружен из внешнего источника ( «Сеть»). [1] [2]
Знак Интернета также можно добавить в виде комментария HTML , вставленного веб-браузером при загрузке HTML-документа из Интернета, с указанием URL-адреса, по которому документ был сохранен. [3]
Эффекты
[ редактировать ]Поскольку это функция NTFS, Знак Интернета влияет только на файлы, открытые на компьютерах под управлением операционной системы Microsoft Windows . [4] Windows предупреждает пользователя, запускающего исполняемый файл, отмеченный в Интернете, о том, что он был загружен из Интернета и может быть опасным; пользователь может либо продолжить, либо отменить выполнение. [2] Если этот знак не отменен действием пользователя, он запрещает запуск макросов в Microsoft Office . файлах [5] [4] Проекты Visual Studio , созданные с помощью файлов, отмеченных в Интернете, невозможно построить или выполнить. [6]
Некоторые программы архивирования распространяют MoTW из самого архива в файлы, извлеченные из него, предотвращая обход его защиты вредоносными программами, распространяемыми внутри архива. [7] [8]
Обходит
[ редактировать ]Имелись уязвимости Windows , некоторые из которых были исправлены патчем , которые позволяют злоумышленникам обходить Знак Интернета. CVE-2022-41091 был добавлен в Национальную базу данных уязвимостей 8 ноября 2022 года и относится к уже исправленной способности злоумышленника избегать веб-маркировки файлов, загруженных из Интернета. [9] [10] Другие уязвимости (CVE-2022-44698, исправлено в декабре 2022 г.); [11] CVE-2023-36584, исправлено в октябре 2023 г.) [12] позволял злоумышленникам обходить ограничения знака, не удаляя его.
Злоумышленник также может использовать социальную инженерию , чтобы убедить целевого пользователя разблокировать файл, щелкнув его правой кнопкой мыши и изменив свойства файла. [13]
Ссылки
[ редактировать ]- ^ Абрамс, Лоуренс (10 ноября 2022 г.). «Microsoft исправляет ошибку нулевого дня в Windows, используемую для распространения вредоносного ПО» . Мигающий компьютер .
- ^ Jump up to: а б Лоуренс, Эрик (4 апреля 2016 г.). «Загрузки и веб-метка» . текст/обычный . Проверено 9 января 2024 г.
- ^ кексугит (23 марта 2011 г.). «Понимание блокировки зоны локального компьютера» . Microsoft Learn . Проверено 9 января 2024 г.
- ^ Jump up to: а б Николассуайт (14 декабря 2023 г.). «Макросы из Интернета по умолчанию заблокированы в Office — Развертывание Office» . Microsoft Learn . Проверено 9 января 2024 г.
- ^ «Макробезопасность для Microsoft Office» . Национальный центр кибербезопасности (NCSC) . 3.0. 11 октября 2023 г. [21 февраля 2019 г.].
- ^ Нагель, Эрик (26 августа 2019 г.). «Удалить след Интернета: ошибка сборки Visual Studio 2019» . Эрик Нагель . Проверено 9 января 2024 г.
- ^ Викси, Мэтт (12 октября 2022 г.). «Прибегают ли злоумышленники к архивам и образам дисков, поскольку использование макросов сокращается?» . Новости Софоса . Проверено 28 февраля 2024 г.
- ^ Бойд, Кристофер (21 июня 2022 г.). «7-Zip получает функцию Mark of the Web, повышающую защиту пользователей» . Вредоносные байты.
- ^ «CVE-2022-41091» . Национальная база данных уязвимостей NIST . Проверено 9 января 2024 г.
- ^ «Знак Windows об уязвимости обхода функции веб-безопасности» . Microsoft MSRC . 08.11.2022 . Проверено 9 января 2024 г.
- ^ «CVE-2022-44698» . Национальная база данных уязвимостей NIST . Проверено 9 января 2024 г.
- ^ «CVE-2023-36584» . Национальная база данных уязвимостей NIST . 10.10.2023 . Проверено 18 июня 2024 г.
- ^ Хегт, Стэн (30 марта 2020 г.). «Знак Интернета с точки зрения красной команды» . Обойти с фланга . Проверено 19 июня 2024 г.