Pesquisadores da empresa Attackd identificaram um comportamento preocupante no 7-Zip versão 24.09: ao extrair arquivos compactados baixados da internet, o programa descarta o Mark-of-the-Web (MotW) — o marcador de segurança que o Windows aplica automaticamente a todo arquivo de origem externa. O resultado é que executáveis maliciosos compactados em ZIP podem ser extraídos e executados sem que o SmartScreen dispare qualquer alerta.
O MotW funciona como um “carimbo de origem” que o sistema operacional cola em arquivos baixados de sites, e-mails e mensagens. Quando qualquer programa tenta executar um arquivo com esse carimbo, o SmartScreen entra em ação e exibe um aviso pedindo confirmação — especialmente para executáveis desconhecidos. Sem o marcador, o Windows trata o arquivo como se tivesse vindo de uma pasta local, pulando toda a verificação de segurança.
O vetor de ataque é simples e eficaz: um criminoso distribui um arquivo ZIP malicioso por phishing e pede que a vítima o descompacte com o 7-Zip. Ao extrair, o MotW desaparece. O executável dentro do ZIP roda sem avisos, sem SmartScreen, como se fosse um arquivo qualquer do computador. Trata-se de um truque que neutraliza uma das proteções nativas mais eficientes do Windows para quem usa o 7-Zip como descompactador padrão.
A boa notícia é que versões mais recentes do 7-Zip já oferecem uma configuração para propagar o Zone.Identifier nos arquivos extraídos. Manter o programa atualizado e habilitar essa opção é o caminho mais direto para fechar a brecha. Para quem precisa descompactar arquivos de fontes desconhecidas e ainda não atualizou, o próprio extrator nativo do Windows respeita o MotW por padrão e pode ser usado como alternativa temporária.
