zonealarm 中文文档 下载 App

ZoneAlarm Threat Extraction 文档净化——主动剥离宏/OLE/外链，对抗文档投毒攻击

文档投毒：当前最主流的攻击载体

在杀毒引擎对 exe 等可执行文件的检测越来越成熟之后，攻击者转向了"看起来不是病毒的文件"——Word、Excel、PowerPoint、PDF 这些办公文档。这些文档本身不是可执行程序，但内部可以嵌入可被利用的结构：

杀毒引擎的问题在于它只扫描文件内容的哈希签名——如果宏脚本是新的（签名还没被收录），杀毒引擎就会放行这个"干净"的 Word 文档。但用户一打开，宏脚本立刻运行，木马就进来了。

Threat Extraction：主动剥离可利用结构

ZoneAlarm Extreme 独有的 Threat Extraction 技术从根源上解决这个问题——它不是扫描文档，而是主动重构文档：

  1. 用户下载一个 Office 文档或 PDF 时，ZoneAlarm 拦截下载
  2. 在 ZoneAlarm 的云端服务器上分析文档结构，识别所有可被利用的元素
  3. 剥离以下内容：
被剥离元素危害处理方式
宏脚本（Macro）VBA 宏可执行任意代码完全剥离，不保留
OLE 嵌入对象可执行文件和脚本的伪装壳完全剥离
外部超链接钓鱼跳转和自动下载转换为纯文本（点击无响应）
隐藏内容攻击者用来藏恶意代码的容器完全剥离
活动内容（ActiveX/JavaScript）PDF 里的可执行内容完全剥离
  1. 用剥离后的安全内容重建出一份干净的 PDF 版本
  2. 把 PDF 版本交付给用户，原始可疑文档被隔离

ZoneAlarm 不会对用户说"这个文档有病毒"——它直接交付一个已经安全了的版本，用户照常用，不影响内容使用。

效果对比

防护方式原理对文档投毒的效果
传统杀毒引擎哈希签名匹配宏脚本签名未收录时放行 → 用户打开中招
行为启发式运行时分析行为宏脚本运行时才触发分析，晚了一步
Threat Extraction主动剥离结构不管宏是不是已知威胁，先把可执行结构全剥掉 → 用户打开的永远是干净版本

PCMag 2024 评测中，ZoneAlarm Extreme 的 Threat Extraction 在文档投毒防护测试中获得满分评级——测试用了 50 个带恶意宏的 Word 文档，Threat Extraction 全部成功净化并交付干净 PDF。

哪些场景会触发 Threat Extraction

Threat Extraction 默认在以下场景自动触发：

Threat Extraction 不会触发的场景：

用户感知：几乎无感

Threat Extraction 的设计原则是"不打扰"：

偶尔你可能会遇到"ZoneAlarm 净化后交付的 PDF 内容和原文档不完全一样"——这是正常的，被剥掉的宏、OLE 对象和外部超链接本来就不应该存在在干净文档里。

Threat Extraction vs 杀毒引擎 vs 防火墙

三者的防护层级和触发时机完全不同：

模块管什么什么时候触发
防火墙文档下载的网络流量下载过程中
杀毒引擎下载到本地的文件是不是已知病毒下载完成时 / 打开时
Threat Extraction文档内部的可利用结构下载时 / 手动扫描时

Threat Extraction 在防火墙和杀毒引擎之间插了一层——防火墙放行的流量可能载着带毒文档，杀毒引擎签名未匹配的新型毒文档可能放过，但 Threat Extraction 不管签名，只看文档结构里有没有可执行元素，有的话先剥掉再说。

下一个：Threat Emulation 云端沙箱

Threat Extraction 管的是文档投毒，Threat Emulation 管的是所有其他文件类型的零日攻击——两者配合覆盖从 exe 到 docx 的全文件范围：

Threat Emulation 威胁仿真