在CVE-2022-41091的安全补丁更新后，Windows会将MoTW标记传播到ISO中包含的所有内容并在文件打开时显示安全警告，这意味着用ISO等非NTFS格式文件打包恶意宏文档进行投递以规避MoTW标记的方式基本失效。近期，攻击者开始转向利用OneNote笔记文件（.one）来进行恶意载荷的分发，利用.one文件搭载WSF文件诱导受害者执行，使之成为宏文档的替代方式。本文将围绕其中的技术细节进行分析研判。

要点：利用OneNote文件分发恶意文件规避MoTW

端侧防守策略

借助系统自带的防护功能策略，目前针对这类钓鱼攻击手段的主要限制方法有三种：

1.禁止所有嵌入式OneNote附件

组策略的配置将创建注册表键值：[HKEY_CURRENT_USER\SOFTWARE\Policies\Microsoft\office\16.0\onenote\options]

"disableembeddedfiles"=dword:00000001

当尝试打开OneNote附件时会被阻止并收到警告。一棒子打死的方案的确阻止了利用OneNote附件传播恶意文件的可能性，但也在很大程度上限制了OneNote本身的功能以及共享信息的便捷性；

2.配置组策略

通过配置组策略“Embedded Files Blocked Extensions”，可以指定默认阻止的OneNote附件文件类型，限定附件的文件类型能够在尽可能少地影响正常功能的前提下很好地限制恶意文件的出现。组策略对应的注册表键值为：[HKEY_CURRENT_USER\SOFTWARE\Policies\Microsoft\office\16.0\onenote\options\embeddedfileopenoptions]

"blockedextensions"=".js;.exe;.bat;.vbs;.com;.scr;.cmd;.ps1"

这种方式能够更加有针对性地对指定文件类型进行拦截，但也潜藏了被攻击者发现新文件扩展利用方式以绕过拦截的风险。

3.ASR攻击面减少规则

ASR是Microsoft Defender for Endpoint提供的内置组策略配置，能够对邮件、Office文档等常见攻击媒介的行为做针对性的检测与拦截。通过启用规则：“阻止所有Office应用程序创建子进程”（GUID：d4f940ab-401b-4efc-aadc-ad5f3c50688a）能够有效拦截相关行为。

[1]https://www.bleepingcomputer.com/news/microsoft/microsoft-fixes-windows-zero-day-bug-exploited-to-push-malware/

[2]https://www.bleepingcomputer.com/news/security/how-to-prevent-microsoft-onenote-files-from-infecting-windows-with-malware/

[3]https://www.bleepingcomputer.com/news/microsoft/microsoft-onenote-to-get-enhanced-security-after-recent-malware-abuse/

[4]https://learn.microsoft.com/zh-cn/microsoft-365/security/defender-endpoint/attack-surface-reduction-rules-reference?view=o365-worldwide#block-office-applications-from-creating-executable-content