7-Zipの脆弱性を悪用すると、特別に細工されたアーカイブから展開されたマルウェアがWindowsのMark-of-the-Web(MotW)ラベルを失う可能性があります。
このラベルがないと、被害者が展開されたファイルを実行した際に、Windows SmartScreenが通常表示するはずの評価警告が表示されないことがあります。
CVE-2025-0411として追跡されているこの問題は、24.09より前のバージョンの7-Zipに影響し、2025年2月にCISAの既知の悪用された脆弱性(KEV)カタログに追加されました。
この脆弱性の悪用には、悪意あるアーカイブを開いたり展開したりするといったユーザー操作が必要ですが、成功すればログイン中のユーザーの権限でコード実行につながる可能性があります。nvd.nist+1
MotWは、インターネットからダウンロードされたファイルに通常付与されるWindowsのメタデータです。これはNTFSの代替データストリーム(Alternate Data Stream)であるZone.Identifierに格納され、多くの場合ZoneId=3とともに、そのファイルがインターネットゾーン由来であることを示します。
ユーザーがエクスプローラー経由でMotW付きの実行ファイルを起動すると、Windows SmartScreenはクラウドベースの評価チェックを実行することがあります。
評価が低い、あるいは不明なファイル、とりわけ署名されていない実行ファイルは、「Windows によって PC が保護されました」という警告をトリガーすることがあります。
このコントロールは、Microsoft Defender for Endpointやその他のエンドポイント検知・対応(EDR)製品とは別物です。今回の7-Zipの脆弱性は、アーカイブの展開処理中に発生します。
ダウンロードされたアーカイブ自体にはMotWが付与されている場合がありますが、脆弱なバージョンの7-Zipでは、その中にネストされたアーカイブから展開されたファイルにこのマーキングを引き継げないことがあります。
その結果生成される実行ファイルは、Windowsからはインターネット経由で取得したものではなく、ローカルファイルであるかのように見えてしまいます。SmartScreenはエクスプローラー経由の一般的な実行フローにおいてMotWのシグナルに依存しているため、これは重大な問題です。
展開されたペイロードにZone.Identifierが存在しない場合、SmartScreenのアプリケーション評価プロンプトはそもそも呼び出されない可能性があります。
National Vulnerability Databaseは、この不具合をリモートからのMotWバイパスと説明しています。すなわち、7-Zipが細工されたアーカイブから展開されたファイルへマークを伝播しないというものです。攻撃者は、標的にそのアーカイブを操作させることで、現在のユーザー権限下でコードを実行できる可能性があります。
セキュリティ研究者は、この脆弱性の悪用が、ネストされたアーカイブと偽装ファイル名を使ってSmokeLoaderマルウェアを配布するフィッシング活動と関連していると指摘しています。
こうしたキャンペーンは、エンドポイント保護が導入されている環境であっても、アーカイブの取り扱いが依然として初期アクセスの標的として価値を持つことを示しています。7-Zipはバージョン24.09でCVE-2025-0411に対処しました。
ベンダーの変更履歴によると、この修正により、7-Zip File Managerはネストされたアーカイブからファイルを展開する際にZone.Identifierストリームを確実に伝播するようになったとのことです。
組織は、24.09より古いインストール環境を直ちに特定し、更新すべきです。管理者は、7-Zipの存在を単なる軽微なソフトウェアインベントリ上の問題として扱わないようにする必要もあります。
アーカイブユーティリティは、ダウンロードされたコンテンツがセキュリティメタデータを保持するかどうかに影響を与えるため、フィッシング耐性やエンドポイントの堅牢化において重要な意味を持ちます。
今回の事案は、SmartScreenとエンドポイント検知は別のコントロールであるという重要な防御上の教訓も改めて浮き彫りにしています。アンチウイルスのスキャンや振る舞い検知を回避したペイロードであっても、MotWが保持されていればSmartScreenによって阻止される可能性があります。
逆に、MotWが除去または失われたからといって、そのペイロードがDefenderやEDRのテレメトリ、メールフィルタリング、アプリケーション制御ポリシーから安全になるわけではないと、attackdは述べています。
防御側にとって重要なリスクは、単にマルウェアを含むアーカイブが存在すること自体ではありません。ダウンロードされたファイルに追加の精査が必要かどうかをWindowsが判断する際に用いるセキュリティコンテキストを、そのアーカイブが書き換えてしまうという点にあります。
サードパーティ製の展開ソフトウェアにパッチを適用し続けることで、この特定の攻撃経路を塞ぐことができ、インターネット経由で配信される脅威に対する効果的な防壁としてのSmartScreenの役割を維持する助けとなります。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの完全な可視性を獲得し、SOCを強化してMTTRを削減しましょう
翻訳元: https://cyberpress.org/7-zip-bypasses-smartscreen-protections/