Zone.Identifier (Mark of the Web)

Présentation

Lorsqu'un navigateur, un client de messagerie ou toute application qui s'appuie sur le Gestionnaire de pièces jointes de Windows enregistre un fichier venu d'Internet, il lui attache un petit flux de données alternatif texte nommé Zone.Identifier. C'est la Mark of the Web (MOTW) : Windows s'en sert pour afficher l'avertissement « Ce fichier provient d'un autre ordinateur », déclencher SmartScreen, ouvrir les documents Office en mode protégé ou bloquer leurs macros. Pour l'enquêteur, le flux indique la zone de sécurité d'origine et, avec les navigateurs modernes, l'URL exacte du téléchargement et la page de provenance.

Emplacement

Contenu type :

[ZoneTransfer]
ZoneId=3
ReferrerUrl=https://example.org/downloads/
HostUrl=https://cdn.example.org/files/setup.zip

Le flux étant petit, il est en général résident dans l'enregistrement MFT et survit dans la $MFT même quand le contenu du fichier a disparu.

Ce que l'artefact prouve

• Origine : le fichier a été enregistré depuis une zone autre que la machine locale, le plus souvent Internet (ZoneId 3).
• URL source : HostUrl est l'URL de téléchargement du fichier ; ReferrerUrl, la page qui y a mené. Les navigateurs Chromium (Chrome, Edge) écrivent les deux ; Firefox le fait depuis la version 67, hors navigation privée.
• Technique de livraison : HostUrl=about:internet ou une URL blob: désigne un fichier généré dans le navigateur, typique du HTML smuggling.
• Il ne prouve pas que le fichier a été ouvert ou exécuté, et son absence ne prouve pas que le fichier a été créé localement (voir Rétention).

Champs clés

Horodatages

Rétention et effacement

• Le flux vit aussi longtemps que le fichier sur NTFS. Il est perdu lors d'une copie vers FAT32/exFAT, via certains canaux de transfert, ou quand un programme reconstruit le fichier sans conserver les flux.
• « Débloquer » dans les propriétés du fichier et Unblock-File en PowerShell suppriment le flux ; la suppression est visible comme un changement de flux dans le journal USN.
• La propagation aux fichiers extraits dépend de l'outil : l'extraction ZIP intégrée à Windows propage la marque ; 7-Zip a ajouté une option pour le faire dans sa version 22.00 ; beaucoup d'autres archiveurs ne le font pas.
• Des formats conteneurs ont servi à retirer la marque : jusqu'à la mise à jour de sécurité de novembre 2022 (CVE-2022-41091), les fichiers d'une ISO montée n'en héritaient pas. Les téléchargements par outils en ligne de commande, scripts ou copies SMB n'en portent souvent aucune.
• Les sessions de navigation privée peuvent omettre les URL.

Collecte

• Cible KAPE : $MFT. Il n'existe pas de cible dédiée à Zone.Identifier : les flux résidents sont capturés dans la $MFT. Les flux non résidents (contenu exceptionnellement long) exigent de collecter les fichiers eux-mêmes.
• Velociraptor (Windows.Triage.Targets) : $MFT. En chasse sur poste actif, Windows.Analysis.EvidenceOfDownload liste les fichiers en ZoneId 3 ou 4 avec le contenu de leur flux, et Windows.NTFS.ADSHunter recherche les flux alternatifs par nom et contenu.
• Commandes natives :

Get-Item C:\Users\alice\Downloads\* -Stream Zone.Identifier -ErrorAction SilentlyContinue | Select-Object FileName, Length
Get-Content C:\Users\alice\Downloads\invoice.iso -Stream Zone.Identifier

dir /r C:\Users\alice\Downloads
more < C:\Users\alice\Downloads\invoice.iso:Zone.Identifier

Outils d'analyse

• MFTECmd (Eric Zimmerman, gratuit) : le CSV de la $MFT comporte une colonne ZoneIdContents avec le texte des flux Zone.Identifier résidents.
• Streams (Sysinternals, gratuit) : liste récursivement les flux alternatifs (streams -s).
• Velociraptor : Windows.Analysis.EvidenceOfDownload et Windows.NTFS.ADSHunter.
• PowerShell : Get-Item -Stream et Get-Content -Stream pour une revue rapide en direct.
• Sysmon : l'événement 15 (FileCreateStreamHash) journalise la création du flux lorsque Sysmon est déployé.

Conseils d'investigation

• Filtrez la sortie de MFTECmd sur ZoneIdContents pour lister tous les fichiers téléchargés depuis Internet, puis pivotez sur les domaines de HostUrl pour trouver la charge initiale et corrélez avec les artefacts de navigateur.
• Repérez les HostUrl en about:internet ou blob: : ils signalent des fichiers assemblés dans le navigateur, technique courante de HTML smuggling.
• Examinez les fichiers ISO, IMG, VHD et archives de Downloads, puis cherchez leur contenu extrait sans marque : signe d'un contournement de la MOTW.
• Un Zone.Identifier sur un .exe, .js, .hta ou .lnk qui apparaît ensuite dans le Prefetch ou les journaux Microsoft Defender relie l'exécution à sa source de téléchargement.
• Les fichiers placés dans $Recycle.Bin conservent leur flux : les téléchargements supprimés peuvent encore révéler leur origine.
• L'absence de marque ne prouve pas une création locale ; tenez compte du système de fichiers, du mode de transfert et de l'archiveur utilisé.