Descargas controladas y evasión de SmartScreen / Mark-of-the-Web

En los sistemas de archivos NTFS de Windows, cuando un navegador o cliente de correo guarda un archivo en disco, le asocia un flujo de datos alternativo (Alternate Data Stream - ADS) denominado Zone.Identifier.

Este metadato almacena el identificador de zona de seguridad (ZoneId=3 para la zona de Internet), informando al explorador de archivos, a las aplicaciones ofimáticas y a los motores de seguridad que el archivo procede de una fuente externa no confiable.

Cuando el usuario intenta ejecutar un archivo que posee la Marca de la Web, el sistema operativo consulta en la nube la reputación del hash y de la firma digital mediante el servicio SmartScreen.

Si el ejecutable es desconocido o no ha sido descargado previamente por miles de usuarios en todo el mundo, SmartScreen intercepta la acción y despliega una ventana de advertencia disuasoria que advierte sobre el editor desconocido, desalentando al usuario común de continuar.

Para mitigar la fricción de SmartScreen, los operadores avanzados no recurren a ejecutables independientes descargados directamente en la carpeta de Descargas.

Se emplean arquitecturas de entrega basadas en aplicaciones firmadas mediante tecnologías empresariales (como instaladores MSIX o ClickOnce) que adquieren confianza con certificados con antigüedad verificada, o vectores alternativos que ejecutan código directamente a través de utilidades nativas sin disparar la comprobación de zona.