Mark of the Web (MOTW)

La Mark of the Web (MOTW) est une marque qui indique à Windows qu'un fichier provient d'un emplacement non fiable, le plus souvent Internet. Sur NTFS, elle est stockée dans un flux de données alternatif nommé Zone.Identifier, écrit par les navigateurs, les clients de messagerie et d'autres applications qui enregistrent du contenu téléchargé.

Le flux est un petit bloc de texte au format INI. ZoneId=3 correspond à la zone Internet ; les autres valeurs désignent l'ordinateur local, l'intranet, les sites de confiance et les sites sensibles. Sous Windows 10 et versions ultérieures, de nombreux navigateurs ajoutent aussi ReferrerUrl et HostUrl, qui peuvent révéler la page d'où provient le fichier et l'adresse exacte du téléchargement :

[ZoneTransfer]
ZoneId=3
ReferrerUrl=https://example.com/page
HostUrl=https://example.com/payload.zip

Windows s'appuie sur cette marque pour déclencher des protections comme les vérifications SmartScreen, les avertissements à l'exécution et le mode protégé d'Office. C'est pourquoi les attaquants cherchent à la contourner, par exemple en livrant leurs charges utiles dans des conteneurs ou des archives qui ne propageaient pas la marque aux fichiers extraits.

Pour l'enquêteur, ce flux relie un fichier sur disque à son origine de téléchargement, ce qui se combine bien avec les artefacts de navigateur. La page Zone.Identifier détaille la collecte et l'analyse. La marque n'existe que tant que le fichier reste sur NTFS : une copie vers FAT32 ou la suppression du flux l'efface, si bien que son absence ne prouve pas qu'un fichier a été créé localement.