7-Zip のデフォルト設定：Mark of the Web (MotW) コントロールの喪失という問題

7-Zip Default Setting Lets Extracted Files Bypass Windows SmartScreen

2026/08/05 gbhackers — 7-Zip のデフォルト・コンフィグでは、インターネット上のアーカイブから展開されるファイルが Mark of the Web (MotW) コントロールを失うため、Windows SmartScreen によるレピュテーション・チェックが実行されず、署名されていないペイロードであっても “Windows による PC 保護” という警告なしに実行される可能性がある。

この挙動は、レッドチームの手法として扱われてきたが、現在では複数の 7-Zip 脆弱性として正式に認識・追跡されており、サードパーティのアーカイバに依存する Windows システムにおいて、SmartScreen のカバレッジに永続的なギャップが存在することを示している。

最近のフィッシングに焦点を当てたエンゲージメントでは、ShellcodePack ランチャーに包まれた Sliver C2 beacon が調整され、Microsoft Defender for Endpoint (MDE) を完全にバイパスしているが、書き込み時の静的検知はなく、実行時の挙動アラートもなく、C2 への beacon 通信も正常だった。

メール・リンク／ブラウザ・ダウンロード／Explorer のダブルクリックなどの現実的なフィッシング・フローで上記のペイロードが配信されると、直ちにブロックされるものの、ブロックしたのは MDE ではなく、Windows SmartScreen だった。

その違いは MotW にあり、現代のブラウザは、ダウンロードされたファイルに ZoneId=3 を持つ Zone.Identifier 代替データストリーム (ADS) を書き込み、それらがインターネット由来であることを示す。

このフラグを起点に動作する SmartScreen により、Microsoft クラウドへのレピュテーションの問い合わせが実行され、これまで観測されておらず、署名もされていないペイロードは、このチェックに失敗し、Defender のエンジンが検知できない場合でも強制的にブロックされる。

重要な点として、SmartScreen と MDE が別の制御であることを理解する必要があり、Defender からは見えないペイロードであっても、MotW が存在する場合には、Explorer からシェル経由で実行された際に SmartScreen により停止され得る。一方、直接的な PowerShell 呼び出しや、MotW が付与されていないファイルの実行は SmartScreen を完全にバイパスするため、実行コンテキストに応じて、実際に用いられる制御が決定される。

現在の Windows 11 のビルドでは、Microsoft はこれまでの複数の MotW ギャップを塞いでおり、Explorer の組み込み ZIP 処理は、パスワード保護されたアーカイブから展開されたバイナリに対して MotW を伝播するようになっている。また ISO のマウントも強化され、コンテナ境界によって Zone Identifier タグが日常的に取り除かれることはなくなっている。

現代の Chromium ベースのブラウザ (Chrome／Edge／Brave) と Firefox は、”blob:/data: URL” の再構成を利用したダウンロードに MotW を書き込むが、HTML スマグリングは境界防御を回避するための手法であり、エンドポイントにおける MotW バイパスではない。さらに Edge は、SmartScreen をダウンロード経路へ統合することで、実行前の追加の判断ポイントを防御側に提供している。

しかし、依然としてサードパーティのアーカイブ・ツールには弱点があり、長年にわたり、7-Zip のデフォルトでは MotW が伝播されない状態が続いていた。

7-Zip のデフォルト設定

7-Zip における MotW 処理がオプトイン機能 “Propagate Zone.Id stream” としてのみ提供され、初期設定では “No” になっていることを、Attackd の研究者が報告している。そのため、展開されたファイルはインターネット由来のフラグを失い、SmartScreen のレピュテーション・ゲートを回避する。

最近になって、この問題は単なる設定上の問題から、悪用可能な脆弱性として扱われるようになった。脆弱性 CVE-2025-0411 は、入れ子構造のアーカイブ・シナリオに関するもので、MotW (Mark of the Web) のタグが付与された外側のアーカイブの中に別のアーカイブ (内側のアーカイブ) が含まれており、その中身が MotW なしで展開されることになる。これにより、攻撃者が用意した悪意のファイルが、SmartScreen の警告プロンプトを表示することなく実行される恐れがある。

7-Zip 24.09 で修正された後も、ネストされたアーカイブのケースにおいて、MotW 処理の新たなバグが報告されている。脆弱性 CVE-2026-58052 は、7-Zip 26.02 以下では、細工された RAR5 アーカイブを展開する際に MotW の保持に失敗する可能性があることを示している。実質的には、NTFS ストリーム正規化を通じて ZoneId=3 を ZoneId=0 で上書きすることで、ファイルの内容を偽装した上で SmartScreen/MotW の警告を無効化する。

7-Zip ビルドが脆弱なケースやミスコンフィグされたケースでは、アーカイブ展開を介した SmartScreen バイパスが高い確率で発生する。特に、開発者や技術者が多く、7-Zip が広く利用されているグループでは、その影響が顕著である。

SmartScreen の判断ロジックは単純であり、ファイルに MotW が付与され、シェル経由で起動された場合に SmartScreen による確認が行われる。具体的には、そのファイルが認識済みの発行者によって署名されていること、そして、そのファイルハッシュが Microsoft のテレメトリ内で肯定的なレピュテーションを確立していることが確認される。

これまでは、Extended Validation (EV) コード署名証明書によって SmartScreen レピュテーションを即座に得ることができ、EV 署名済みインストーラは初回ダウンロード時の警告をスキップしていた。しかし、このショートカットは無くなっている。

2024年の Microsoft Trusted Root Program の変更により、EV 固有の OID が削除された。現在のドキュメントでは、EV 証明書と OV 証明書は、クリーンなダウンロード量と一貫した署名を通じて、同じ方法でレピュテーションを構築する。

防御側とソフトウェア発行者にとって、コード署名はアイデンティティの保証と長期的な信頼の確立に依然として不可欠であるが、初回の SmartScreen バイパスに利用できる利点は失われている。その一方で、正規の証明書の購入は攻撃者にとって意味のある障壁であり、脆弱性 CVE-2013-3900 (WinVerifyTrust certificate padding) のようなエッジケースを悪用するには、高度な技術と環境に特化した知識が必要となる。

前述のエンゲージメントは、重要な現実を浮き彫りにしている。SmartScreen は、署名されていないペイロードやブラウザ経由で配信されるペイロードに対して有効な、しばしば過小評価されている制御であり、その機能に対しては、「バイパスされた」ではなく「阻止した」と記録することが正しい評価である。

つまり、EDR 回避だけでは悪意のペイロードの実行は保証されず、MotW と SmartScreen が最後の防衛線を提供するからである。

防御側にとって重要な対応は明確である。第一に、Edge と非 Edge のデプロイメントを含む実際の OS／ブラウザ・スタックで SmartScreen の挙動をテストし、外部通信ポリシーの下でクラウド・レピュテーション・チェックの fail open／fail closed を検証すべきである。

第二に、サードパーティのアーカイバである 7-Zip などをインベントリ化し、パッチ適用済みビルド (ネストされたアーカイブの欠陥には 24.09 以降) へとアップデートするとともに、RAR5 MotW 処理の欠陥 (CVE-2026-58052) については本稿執筆時点で修正版が公開されていないため、7-Zip 公式サイトの最新リリース情報を継続的に監視し、修正版が公開され次第速やかに適用すべきである。また暫定的な緩和策として、未検証の送信元から受け取った RAR5 アーカイブの展開を制限する、および “Zone.Id” ストリームを伝播する設定を強制適用することも可能である。

最後に、より広範な制御セットの 1 つの層として SmartScreen を扱うことである。SmartScreen は、MotW が付与されたファイルがシェル経由で実行された場合にのみ発動するため、内部共有／USB／スクリプトによる経路で配信されたペイロードは、この制御に到達しない。

訳者後書：アーカイブ展開時に、Web 由来を示す識別情報が失われる問題により、セキュリティ機能の検証が回避され、不正なファイルが警告なしで実行される恐れがあります。7-Zip の設定不足や脆弱性 CVE-2025-0411／CVE-2026-58052 が要因となり、不審なプログラムの潜入を許すリスクが生じます。対策として、最新版への更新や各種設定の最適化を速やかに実施し、安全に利用するためにも、適切な権限管理と運用手順の確認が必要となります。状況に応じて代替手順を検討し、監視体制を整えることが推奨されます。