Búsqueda de sitios web

Cómo determina Windows que el archivo se ha descargado de Internet

En uno de los artículos anteriores, mencionamos que al intentar abrir un archivo ejecutable descargado de Internet, Windows muestra una advertencia de seguridad sobre la ejecución de un contenido potencialmente peligroso (para obtener más detalles, consulte Cómo deshabilitar las advertencias de seguridad en Windows). ¿Cómo determina el sistema que el archivo ha sido descargado de Internet? Tratemos de averiguarlo.

Todos los archivos ejecutables descargados de Internet en un navegador obtienen un marcador especial. Esta regla es compatible no solo con Internet Explorer, sino también con otros navegadores populares, como Mozilla Firefox y Google Chrome. Al copiar, renombrar o mover un archivo a otra partición NTFS, el marcador aún permanece.

Este marcador es una secuencia de archivos NTFS alternativa.

Nota. Los flujos de datos NTFS alternativos permiten crear varios flujos de datos adicionales (metadatos) para cada archivo NTFS. De manera predeterminada, todos los datos del archivo se almacenan en el flujo principal, pero es posible crear para un archivo uno o más flujos adicionales y su tamaño puede incluso exceder el tamaño del flujo del archivo principal. La mayoría de las aplicaciones (incluido el Explorador de Windows) funcionan solo con el flujo estándar y no pueden leer datos de los flujos de datos NTFS alternativos.

Para asegurarse de que se ha asignado un marcador especial a un archivo descargado de Internet, muestre la lista de archivos para el directorio que contiene distribuciones usando el siguiente comando:

dir /r

Como podemos ver, el flujo alternativo Zone.Identifier ha sido asignado a los archivos ejecutables, como install_flash_player_16_active_x.exe:Zone.Identifier.

Abra la secuencia alternativa en el Bloc de notas:

Notepad.exe install_flash_player_16_active_x.exe:Zone.Identifier

Podemos ver que este flujo es un archivo que contiene una sección [ZoneTransfer], en la que se especifica un ID de zona de transferencia (ZoneId). (Estas son las zonas de seguridad que se pueden encontrar en la configuración de IE). El ID de la zona de transferencia puede contener uno de los cinco valores del 0 al 4.

  1. ZoneId=0: máquina local

  2. ZoneId=1: Intranet local

  3. ZoneId=2: sitios de confianza

  4. ZoneId=3: Internet

  5. ZoneId=4: sitios restringidos

Cuando descarga un archivo de una zona de seguridad, un navegador le asigna un ZoneId correspondiente. Al intentar ejecutar un archivo con ZoneId igual a 3 o 4 en su secuencia NTFS alternativa, en función de esta ID, el sistema detecta que un archivo se ha descargado de Internet o de una fuente que no es de confianza. Windows ha estado revisando este marcador de archivos ejecutables desde Windows XP SP2.

Para eliminar este marcador (el flujo alternativo) manualmente, solo debe hacer clic en Desbloquear en las propiedades del archivo.

Asegúrese de que este archivo no tenga la transmisión alternativa ahora.

Consejo. Para evitar la asignación de marcadores a los archivos descargados, puede guardar los archivos descargados de Internet en un sistema de archivos diferente a NTFS, como FAT, exFat, etc.

En realidad, Windows no tiene ninguna herramienta para manejar los flujos de datos alternativos. Por ejemplo, si tiene que eliminarlos de varios archivos a la vez, será mejor que utilice una herramienta de consola de terceros de Mark Rusinovich: transmisiones.

Por ejemplo, para eliminar recursivamente las secuencias alternativas de todos los archivos ejecutables en c:\Download\, ejecute este comando:

c:\TOOLS\streams.exe -s -d c:\Download\*.exe

En el símbolo del sistema, puede ver que se eliminó la secuencia alternativa de un archivo: Deleted :Zone.Identifier:$DATA

Importante. Transmisiones elimina todas las transmisiones alternativas de los archivos especificados y no permite apuntar a una determinada transmisión. Por lo tanto, no ejecute el comando streams como streams.exe -s -d c:\*.exe, ya que puede provocar la falla del sistema después de que se elimine la información importante contenida en los flujos NTFS alternativos.

Get-ChildItem -Recurse | Get-Item -Stream Zone.Identifier -ErrorAction SilentlyContinue | Select-Object FileName

El atributo se elimina de la siguiente manera:

Remove-Item .\install-file.exe -Stream Zone.Identifier

En Windows PowerShell 4.0, puede eliminar Zone.Identifier mediante un cmdlet independiente:

Unblock-File install-file.exe

Puede asignar el marcador a cualquier archivo manualmente ejecutando este comando:

notepad.exe install_flash_player_16_active_x.exe:Zone.Identifier

Como no hay flujo, el sistema solicita que se cree un nuevo archivo. Acepte y copie el siguiente texto en la ventana del Bloc de notas:

[ZoneTransfer]
ZoneId=3

Artículos relacionados