Mark of the Web (MotW) أو “علامة الويب” هي آلية أمنية في Windows تحدد مصدر الملف. عندما تنزّل ملفاً عبر المتصفح أو تحفظ مرفقاً من بعض برامج البريد، يضيف Windows إلى الملف بيانات مخفية تقول إنه جاء من الإنترنت. وتعتمد عليها عدة طبقات حماية لاحقاً.
كيف تُخزَّن العلامة؟
تُكتب العلامة في Alternate Data Stream باسم Zone.Identifier ملحق بالملف على أقراص NTFS، ويحتوي عادةً على رقم المنطقة، حيث تعني القيمة ZoneId=3 منطقة الإنترنت، وقد يحتوي أيضاً على رابط مصدر التنزيل. يمكن عرضها في PowerShell:
Get-Content . ile.docx -Stream Zone.Identifierولأنها مرتبطة بنظام ملفات NTFS، فإنها تُفقد عند نسخ الملف إلى ذاكرة USB بنظام FAT32 مثلاً.
ما الذي يحدث بسبب العلامة؟
- تحذير SmartScreen عند تشغيل برنامج منزّل غير معروف السمعة.
- فتح مستندات Office في العرض المحمي (Protected View).
- حظر وحدات الماكرو (VBA) في ملفات Office القادمة من الإنترنت افتراضياً، وهو تغيير طبقته Microsoft في 2022 وكان له أثر كبير في تقليل هجمات الماكرو التي ظلت لسنوات من أشهر طرق نشر البرمجيات الخبيثة.
كيف يحاول المهاجمون تجاوزها؟
بعد حظر الماكرو، تحوّل المهاجمون إلى إرسال ملفات داخل حاويات مثل ISO و VHD وبعض الأرشيفات، لأن الملفات المستخرجة منها لم تكن ترث العلامة في الإصدارات القديمة من Windows أو من بعض برامج الضغط. كما ظهرت عدة ثغرات لتجاوز MotW وتحذير SmartScreen وأصلحتها Microsoft في تحديثات Patch Tuesday خلال السنوات الأخيرة. هذا يوضح أن العلامة طبقة حماية مهمة لكنها ليست كافية وحدها.
توصيات للمسؤولين
- إبقاء Windows و Office وبرامج الضغط محدّثة لتنتقل العلامة للملفات المستخرجة.
- عدم تعطيل حظر الماكرو على مستوى المؤسسة، والسماح بالماكرو فقط من مواقع موثوقة أو بتوقيع رقمي عبر Group Policy.
- حظر أو فحص المرفقات من نوع ISO و IMG و VHD و LNK و HTA في بوابة البريد.
- توعية المستخدمين بعدم إزالة العلامة يدوياً عبر خيار Unblock في خصائص الملف أو أمر
Unblock-Fileإلا لملف موثوق تماماً.
الفرق بين MotW و SmartScreen
MotW هي مجرد علامة تصف مصدر الملف، أما SmartScreen فهو خدمة تفحص سمعة الملف أو الموقع وتستخدم وجود العلامة كأحد أسباب إظهار التحذير.
