Статья Почему твой exe ловит синий экран : разбор SmartScreen + MOTW

[Admin]

Почему твой exe ловит синий экран : разбор SmartScreen + MOTW​

Всем привет

1. эта статья родилась из очень простой боли - за все время, что я ковыряюсь в теме , так и не встретилось ни одного нормального, по‑настоящему глубокого объяснения того, как работает связка Mark of the Web + SmartScreen/Defender , на форумах обычно либо пересказывают официальную документацию в духе "есть какая‑то метка, Windows ее как‑то использует", либо сразу уходят в обходы и готовые трюки, не разбираясь, что именно происходит под капотом , в результате каждый, кто заходил в эту нишу, был вынужден по десять раз наступать на те же грабли - руками гонять одни и те же тесты, гадать, почему один и тот же файл ведет себя по‑разному, и собирать картину мира по кусочкам из доков, блогов ресерчеров и собственного опыта.
   
2. цель этой статьи - закрыть именно этот пробел , не дать очередной набор "лайфхаков" , а собрать в одном месте целостную модель :
   
   1. что такое MOTW на уровне файловой системы
      
   2. как он вообще появляется
      
   3. какие ZoneId бывают и что они меняют
      
   4. как SmartScreen и АВ используют эту метку
      
   5. как на решение влияет сертификат, издатель и его репутация, и где у всего этого реальные границы

Quote
идея в том, чтобы человек, прочитав материал, перестал видеть в SmartScreen/Defender "магический рандом", а мог объяснить себе (и другим) почему именно его файл поймал синий экран, почему второй - только мягкое предупреждение, а третий прошел тихо.

1. это knowledge base для тех кто только начинает погружаться в тему и хочет понимать как устроены современные АВ - или для тех кто уже в теме но хочет узнать что‑то новое, подкрепить существующие знания или посмотреть на вопрос с другой стороны.
   
2. это вторая статья серии после разбора cloud telemetry - там мы разобрали как файлы попадают в облачные базы и становятся глобально детектируемыми, теперь смотрим что происходит ДО того как файл доходит до scantime/runtime анализа, именно MOTW решает запускаются ли эти проверки вообще или файл пропускается сразу.
   
3. если вы еще не читали первую часть про cloud telemetry, очень рекомендую начать с нее - это даст более широкий контекст и поможет лучше понять, как MOTW вписывается в общую архитектуру защитных механизмов.
   
4. ссылка : https://forum.exploit.biz/topic/270038/ - Статья Почему твои файлы летят в детект: разбор cloud telemetry.

поехали разбираться.

первая линия защиты - Mark of the Web (MOTW)

1. важно понимать, что MOTW сам по себе не анализирует код и не решает "вирус / не вирус" - это просто метка в файловой системе, которая говорит Windows: “этот файл пришел из интернета, к нему нужно относиться осторожно”, эта метка хранится в отдельном скрытом потоке данных Zone.Identifier, где записан ZoneId, адрес сайта и при необходимости реферер.
   
2. как только такой файл пытаются открыть, в дело вступает менеджер вложений Windows - он смотрит на ZoneId и тип файла и уже по этим двум вещам решает, какие диалоги и проверки показывать , здесь вообще не важно, что внутри файла - на первом шаге система реагирует на источник (интернет‑зона) и расширение , именно поэтому обычный .exe из браузера мгновенно ловит синий экран “Windows protected your PC”, а тот же самый .exe, скопированный на флешку и запущенный оттуда, стартует без единого вопроса.
   
3. теперь разберемся, какие именно файлы попадают под "жесткий" сценарий с синим экраном SmartScreen, а какие вызывают более мягкое системное предупреждение,
   
4. в первом случае у нас классические "опасные" форматы : .exe .ps1 .vbs .js .bat .iso .vhd .vhdx .msi. это то, что винда считает потенциально исполняемым или способным принести вред сразу после запуска , когда такой файл помечен MOTW и имеет ZoneId=3, система без раздумий включает полный набор - диалог “Windows protected your PC”, проверку репутации, дополнительные проверки со стороны дефа и только потом, по явному согласию пользователя, дает исполнение.

Первый пример : (.exe .ps1 .vbs .js .bat .iso .vhd .vhdx .msi)

1. во втором случае речь идет о файлах, которые сами по себе не запускаются как процесс, но все равно считаются рискованными, потому что меняют доверенную конфигурацию : сюда относятся сертификаты и связанные форматы (.cer .crt .der .p7b .pfx .p12). для них MOTW не вызывает SmartScreen с синим экраном, вместо этого появляется стандартное системное окно “Open File - Security Warning” с акцентом на издателе и происхождении файла , логика та же : файл пришел из интернета, метка MOTW есть, значит перед установкой сертификата пользователя отдельно спрашивают, доверяет ли он источнику.

Второй пример: сертификаты и ключи (.cer .crt .der .p7b .pfx .p12)

• 
  Жалоба

Опубликовано: 8 декабря 2025
Всем привет

1. эта статья родилась из очень простой боли - за все время, что я ковыряюсь в теме , так и не встретилось ни одного нормального, по‑настоящему глубокого объяснения того, как работает связка Mark of the Web + SmartScreen/Defender , на форумах обычно либо пересказывают официальную документацию в духе "есть какая‑то метка, Windows ее как‑то использует", либо сразу уходят в обходы и готовые трюки, не разбираясь, что именно происходит под капотом , в результате каждый, кто заходил в эту нишу, был вынужден по десять раз наступать на те же грабли - руками гонять одни и те же тесты, гадать, почему один и тот же файл ведет себя по‑разному, и собирать картину мира по кусочкам из доков, блогов ресерчеров и собственного опыта.
   
2. цель этой статьи - закрыть именно этот пробел , не дать очередной набор "лайфхаков" , а собрать в одном месте целостную модель :
   
   1. что такое MOTW на уровне файловой системы
      
   2. как он вообще появляется
      
   3. какие ZoneId бывают и что они меняют
      
   4. как SmartScreen и АВ используют эту метку
      
   5. как на решение влияет сертификат, издатель и его репутация, и где у всего этого реальные границы

Quote
идея в том, чтобы человек, прочитав материал, перестал видеть в SmartScreen/Defender "магический рандом", а мог объяснить себе (и другим) почему именно его файл поймал синий экран, почему второй - только мягкое предупреждение, а третий прошел тихо.

1. это knowledge base для тех кто только начинает погружаться в тему и хочет понимать как устроены современные АВ - или для тех кто уже в теме но хочет узнать что‑то новое, подкрепить существующие знания или посмотреть на вопрос с другой стороны.
   
2. это вторая статья серии после разбора cloud telemetry - там мы разобрали как файлы попадают в облачные базы и становятся глобально детектируемыми, теперь смотрим что происходит ДО того как файл доходит до scantime/runtime анализа, именно MOTW решает запускаются ли эти проверки вообще или файл пропускается сразу.
   
3. если вы еще не читали первую часть про cloud telemetry, очень рекомендую начать с нее - это даст более широкий контекст и поможет лучше понять, как MOTW вписывается в общую архитектуру защитных механизмов.
   
4. ссылка : https://forum.exploit.biz/topic/270038/ - Статья Почему твои файлы летят в детект: разбор cloud telemetry.

поехали разбираться.

первая линия защиты - Mark of the Web (MOTW)

1. важно понимать, что MOTW сам по себе не анализирует код и не решает "вирус / не вирус" - это просто метка в файловой системе, которая говорит Windows: “этот файл пришел из интернета, к нему нужно относиться осторожно”, эта метка хранится в отдельном скрытом потоке данных Zone.Identifier, где записан ZoneId, адрес сайта и при необходимости реферер.
   
2. как только такой файл пытаются открыть, в дело вступает менеджер вложений Windows - он смотрит на ZoneId и тип файла и уже по этим двум вещам решает, какие диалоги и проверки показывать , здесь вообще не важно, что внутри файла - на первом шаге система реагирует на источник (интернет‑зона) и расширение , именно поэтому обычный .exe из браузера мгновенно ловит синий экран “Windows protected your PC”, а тот же самый .exe, скопированный на флешку и запущенный оттуда, стартует без единого вопроса.
   
3. теперь разберемся, какие именно файлы попадают под "жесткий" сценарий с синим экраном SmartScreen, а какие вызывают более мягкое системное предупреждение,
   
4. в первом случае у нас классические "опасные" форматы : .exe .ps1 .vbs .js .bat .iso .vhd .vhdx .msi. это то, что винда считает потенциально исполняемым или способным принести вред сразу после запуска , когда такой файл помечен MOTW и имеет ZoneId=3, система без раздумий включает полный набор - диалог “Windows protected your PC”, проверку репутации, дополнительные проверки со стороны дефа и только потом, по явному согласию пользователя, дает исполнение.

Первый пример : (.exe .ps1 .vbs .js .bat .iso .vhd .vhdx .msi)

1. во втором случае речь идет о файлах, которые сами по себе не запускаются как процесс, но все равно считаются рискованными, потому что меняют доверенную конфигурацию : сюда относятся сертификаты и связанные форматы (.cer .crt .der .p7b .pfx .p12). для них MOTW не вызывает SmartScreen с синим экраном, вместо этого появляется стандартное системное окно “Open File - Security Warning” с акцентом на издателе и происхождении файла , логика та же : файл пришел из интернета, метка MOTW есть, значит перед установкой сертификата пользователя отдельно спрашивают, доверяет ли он источнику.

Второй пример: сертификаты и ключи (.cer .crt .der .p7b .pfx .p12)





теперь давай свяжем это с реальными сценариями, которые встречаются каждый день, чтобы было понятно, как MOTW ведет себя в разных путях доставки файла.

1. если файл скачан через браузер, он попадает на диск уже с меткой Zone.Identifier и зоной "Интернет" - дальше все зависит от расширения и репутации : "опасные" форматы получают синий экран SmartScreen, сертификаты и похожие типы - системное окно безопасности, а тот же самый файл, перенесенный по сети или на флешку без сохранения MOTW , уже воспринимается как локальный и проходит гораздо более мягкий сценарий
   
2. один и тот же .exe в браузерном кейсе встречает максимальный уровень подозрения, а в случае копирования внутри локальной инфраструктуры часто запускается без дополнительных вопросов.
   
3. с архивами ситуация относительно прямолинейная : для .zip, .rar, .7z метка обычно "переезжает" на распакованные файлы - если исходный архив имел MOTW, то распакованный .exe или другой исполняемый файл тоже будет отмечен как пришедший из интернета, и защитные системы смогут использовать его Zone.Identifier при дальнейших проверках.
   
4. с образами дисков (.iso, .img, .vhd, .vhdx) схема другая : MOTW ставится на сам контейнер, но файловая система внутри, как правило, не хранит отдельные потоки NTFS, поэтому вложенные файлы обычно остаются без собственной метки. это означает, что слой, который опирается именно на MOTW, видит в первую очередь контейнер как объект, а не каждое вложенное содержимое по отдельности.
   
5. дальше уже вступают в работу другие уровни защиты - анализ до запуска, поведенческий детект, политики обработки внешних и смонтированных томов.

Какие бывают ZoneId и что они значат

еще один важный кусок пазла в истории с MOTW это то, какой именно ZoneId записан в метке , по сути, это короткий числовой код, который говорит Windows, из какой "зоны доверия" с точки зрения системы пришел файл.

1. ZoneId=0 - Local Machine , файл считается полностью локальным, как будто он всегда жил на этом компьютере , MOTW для такой зоны практически не используется, система не относит такие объекты к "пришедшим извне"
   
2. ZoneId=1 - Local Internet , файлы с внутренних сайтов и ресурсов условно корпоративной сети , защищенные порталы, внутренние веб‑приложения, файловые шары, которые помечены как часть локальной инфраструктуры , к ним относятся осторожнее, чем к чисто локальным, но намного мягче, чем к интернет‑контенту.
   
3. ZoneId=2 - Trusted источники, которые пользователь или администратор явно отнес к доверенным сайтам/зонам (например, внутренняя PKI‑страница или определенный портал), для них многие ограничения ослабляются, и дополнительные предупреждения могут не показываться, даже если файл пришел по сети.
   
4. ZoneId=3 - Internet , это как раз наш основной герой , файл помечен как полученный из интернета, и именно этот код запускает всю "тяжелую артиллерию" - SmartScreen, проверки репутации, жесткие предупреждения для опасных расширений , большая часть практических кейсов с MOTW - именно про эту зону.
   
5. ZoneId=4 - Restricted , самая жесткая зона , сюда попадают источники, которым совсем не доверяют (например, сайты из списка ограниченных) , файлы из такой зоны могут блокироваться еще до попытки запуска, а если запуск все же разрешен, ограничения и предупреждения будут максимальными.
   

понимая, какой ZoneId стоит в метке, можно сразу оценить, как система в принципе будет относиться к файлу от почти полного доверия ( 0 / 1 ) до максимально подозрительного режима ( 3 / 4 ) - и почему один и тот же файл, перемещенный между зонами, ведет себя по‑разному при открытии.

Как самому посмотреть MOTW

проверить, есть ли у файла метка Mark of the Web, можно буквально в пару команд, без сторонних утилит , самый простой способ - через PowerShell :

1. открываете ПШ в папке с файлом.
   
2. выполняете команду :

Get-Content -Path .\file.exe -Stream Zone.Identifier

если у файла есть MOTW, вы увидите что‑то в таком формате :

[ZoneTransfer]
ZoneId=3
ReferrerUrl=https://пример-источника/
HostUrl=https://пример-сайта/путь/к/файлу.exe

1. строка ZoneId показывает из какой зоны с точки зрения Windows пришел файл ( 0 - 4 )
   
2. HostUrl и ReferrerUrl помогают понять, откуда именно он был загружен.
   
3. если команда возвращает ошибку , значит у файла просто нет метки MOTW и система воспринимает его как локальный объект без признаков "из интернета"

Вторая линия защиты : издатель и сертификат

1. если первая линия в нашей цепочке - это MOTW, который отвечает на вопрос "откуда пришел файл", то вторая линия пытается ответить на вопрос "кто за этот файл отвечает" , здесь в игру вступают цифровая подпись, цепочка доверия и репутация издателя.
   
2. первое, что смотрит система - подписан ли файл вообще, неподписанный .exe из интернета с MOTW и неизвестным хешем получает максимум недоверия
   
3. SmartScreen показывает жесткое предупреждение, а защитник включает дополнительные проверки , если же файл подписан действительным сертификатом от известного центра сертификации, стартовая планка подозрений уже ниже - особенно когда у этого издателя накоплена положительная репутация (много установок, отсутствие инцидентов)
   
4. дополнительный уровень доверия дают EV‑сертификаты , для софта с такой подписью вероятность увидеть агрессивный экран SmartScreen заметно меньше, потому что система одновременно опирается и на MOTW, и на доверенную цепочку сертификации, и на историю поведения издателя.
   
5. важный момент - система смотрит не только на факт наличия подписи, но и на качество цепочки доверия , самоподписанный сертификат или подпись от малоизвестного центра практически не дают бонуса , формально подпись есть, но доверия к такому издателю почти нет, и поведение SmartScreen/Defender будет ближе к сценарию с неподписанным файлом , полноценная цепочка до корневого доверенного.
   
6. второй слой внутри этой линии - репутация самого издателя , система учитывает, сколько различных файлов уже было подписано этим сертификатом, как долго он существует, были ли среди связанных с ним объектов вредоносные или подозрительные образцы, новый издатель с одним‑двумя файлами и нулевой историей попадает под более жесткий режим проверок, чем вендор, чьи сборки миллионами стоят на машинах по всему миру , в итоге решение о том, насколько агрессивно реагировать на файл, складывается из трех вещей одновременно :
   
   1. MOTW (откуда пришел),
   2. подпись и цепочка доверия (кто подписал)
   3. накопленная репутация издателя (как он вел себя раньше).

Проверка валидности и актуальности сертификата

1. даже если сертификат выпущен доверенным центром и цепочка собрана правильно, система еще должна убедиться, что подпись действительна на момент проверки , здесь работают два механизма :
   
   1. проверка отзыва через CRL (Certificate Revocation List) или OCSP (Online Certificate Status Protocol) и проверка временной метки (timestamp).
      
   2. если сертификат был отозван после подписания файла, но до момента запуска, Windows увидит это и поведет себя так, как будто подписи вообще нет.
      
   3. timestamp нужен для того, чтобы подпись оставалась валидной даже после истечения срока действия сертификата , если файл был подписан до истечения срока и timestamp это подтверждает, подпись считается действительной.
      
2. особая роль у EV‑сертификатов , для их получения издатель проходит более строгую проверку и винда относится к таким подписям с повышенным доверием , файлы подписанные EV‑сертификатом от известного издателя с хорошей репутацией, могут проходить смартскрин вообще без предупреждений, даже если это совсем новый билд и MOTW стоит.
   
3. система как бы говорит - "файл из интернета, но за него отвечает проверенный вендор с EV‑подписью, риск минимален" , в итоге связка MOTW + валидная EV‑подпись + положительная репутация издателя дает файлу " зеленый коридор " через первые два уровня защиты.
   

Как устроен SmartScreen под капотом

1. на уровне интерфейса SmartScreen выглядит как просто синий экран с кнопкой "Запустить в любом случае", но под ним живет отдельный движок, который принимает решение не по одному признаку, а по набору сигналов , когда вы запускаете файл с MOTW, SmartScreen формирует запрос в облако и локальный контекст, куда входят, среди прочего :
   
   1. полный хеш файла , результат проверки подписи, информация об издателе, факт наличия метки Mark of the Web
      
   2. тип расширения и процесс, который инициировал запуск , в ETW‑событиях провайдера это хорошо видно по полям уровня
      
      1. FullFileHash
         
      2. AuthenticodeHash
         
      3. MarkOfTheWeb
         
      4. CallingProcessId
         
      5. Enforcement + Experience
         
      6. то есть движок одновременно смотрит и на сам файл, и на то, кто и как его запускае
         

по сути SmartScreen - это фронт‑энд к тому самому облачному бэкенду репутации, про который шла речь в статье про cloud telemetry , он собирает базовый контекст о файле и отправляет запрос в те же репутационные сервисы, только уже на этапе первого запуска.

Ограничения MOTW

1. у него есть объективные ограничения, о которых нельзя забывать , метка появляется не "сама по себе", а только если приложение, которое сохраняет файл, вообще умеет и хочет ее ставить , стандартные браузеры и почтовые клиенты это делают, но кастомные лоадеры / дроперы, старые софты , самописные апдейтеры или инструменты синхронизации могут просто записать файл на диск без любого Zone.Identifier. в таком случае с точки зрения MOTW файл выглядит как локальный, и первая линия защиты вообще не включается.
   
2. второй момент - не все форматы и сценарии одинаково хорошо "несут" MOTW , архивы чаще всего передают метку на распакованные файлы, но для контейнеров и некоторых специфических типов поведение зависит от реализации , метка может остаться только на внешнем объекте, а вложенное содержимое будет выглядеть как обычные файлы без зоны "Интернет", плюс исторически вокруг MOTW было немало исследований и уязвимостей, связанных с тем, что отдельные форматы либо некорректно наследовали метку, либо обрабатывались защитными механизмами не так строго, как ожидалось.
   
3. майки постепенно закрывает такие дыры обновлениями, поэтому реальное поведение на современной винде может отличаться от старых статей, но базовый вывод остается , MOTW - это один из слоев обороны, а не универсальная гарантия, и его сигналы всегда должны дополняться анализом содержимого и поведенческим детектом на следующих этапах.

EV‑сертификат - не мгновенная индульгенция

1. отдельно стоит проговорить важный момент про EV‑сертификаты, чтобы не создавать ложных ожиданий , раньше их часто продавали как "магический ключ", который якобы сразу снимает все предупреждения SmartScreen , купил EV, подписал файл - и никаких экранов больше нет , на практике в актуальных версиях Windows это уже не так , сам по себе факт наличия EV‑подписи больше не гарантирует мгновенное отсутствие варнингов
   
2. EV‑сертификат все еще остается очень сильным сигналом доверия , издатель проходит более жесткую проверку, такая подпись лучше переносит репутацию между продлениями и в связке с MOTW и положительной историей заметно снижает количество срабатываний SmartScreen , но в реальности движок по‑прежнему опирается на репутацию - сколько раз файлы этого издателя запускались у пользователей, были ли инциденты, нет ли жалоб - и пока эта история не наработана, даже ваши софты с EV‑подписью могут получать варнинги при первых установках , поэтому корректнее считать EV не "автоматической индульгенцией", а усилителем репутации.

Как все это складывается в итоговое решение

1. если собрать все вместе, получается довольно понятная многоуровневая логика , на первом уровне система смотрит на MOTW и ZoneId : пришел ли файл из интернета и через какой путь , если да, он автоматически попадает в категорию "повышенного внимания", на втором уровне подключается информация об издателе и типе подписи , есть ли вообще цифровая подпись, тянется ли цепочка к доверенному центру, не отозван ли сертификат, обычный он или EV, и какая репутация накоплена за этим издателем.
   
2. очень важно понимать, что MOTW на этом этапе - это чистый pre‑execution сигнал , он не смотрит внутрь файла и не анализирует поведение процесса, а отвечает только на вопросы аля "откуда пришел файл" и "какого он типа" , все , что связано с разбором содержимого ( scantime) и наблюдением за поведением во время работы ( runtime ), начинается уже после того, как связка MOTW + зона + издатель дала системе достаточно оснований вообще разрешить запуск.
   
3. дальше эти сигналы объединяются в общий "уровень доверия" к конкретному файлу , неподписанный .exe с MOTW и ZoneId=3 почти гарантированно встретит синий экран SmartScreen и усиленные проверки защитника, причем даже при первом запуске , подписанный файл от малоизвестного издателя с нулевой историей может пройти чуть мягче, но все равно останется под пристальным вниманием
   
4. а вот свежий билд от крупного вендора с валидной EV‑подписью и хорошей репутацией зачастую запускается без каких‑то драматичных предупреждений, несмотря на MOTW , система считает, что риск компенсируется сильной цепочкой доверия , все это важно учитывать, когда вы смотрите на SmartScreen/Defender не как на "черный ящик", а как на набор слоев, где каждый сигнал (MOTW, формат, подпись, репутация) добавляет или снимает очки доверия.

Финиш

1. есть вопросы по конкретным моментам - ZoneId, наследованию MOTW, поведению SmartScreen на ваших билдах Windows, или что-то осталось мутным - пишите в комментах, разберем детально с примерами.
   
   
2. нашли неточности, ошибки в описании поведения или ссылки на свежие патчи майков - тоже велком, критика делает контент точнее и актуальнее.
   
   
3. если у вас есть дополнения из личной практики - как ведет себя MOTW при ваших сценариях доставки/копирования/распаковки, какие загрузчики роняют метку, или ресерчи по наследованию в контейнерах/архивах — добавляйте в комментах , это обогатит материал для всех, кто читает и тестирует.