brak skanowania załączników

Brak skanowania załączników to luka bezpieczeństwa umożliwiająca dostarczenie wiadomości z potencjalnie złośliwym plikiem.

Na czym polega brak skanowania załączników

Brak skanowania załączników oznacza, że pliki dołączone do wiadomości nie są automatycznie analizowane przed dostarczeniem ich do skrzynki odbiorczej albo przed otwarciem przez użytkownika. Analiza może obejmować rozpoznanie typu pliku, sprawdzenie sygnatur znanego złośliwego oprogramowania, ocenę struktury dokumentu oraz wykrywanie podejrzanych skryptów lub makr. Jeżeli żaden z tych etapów nie działa, wiadomość może zostać uznana za zwykłą korespondencję wyłącznie na podstawie adresu nadawcy, tematu i podstawowych nagłówków.

Załącznik jest częścią wiadomości w formacie MIME. Jego zawartość może być zakodowana, skompresowana albo ukryta w archiwum. Samo rozszerzenie nazwy nie potwierdza rzeczywistego typu pliku, ponieważ nazwa może zostać zmieniona bez modyfikowania zawartości. Z tego powodu skuteczne sprawdzanie powinno uwzględniać między innymi sygnaturę pliku, typ MIME, sposób kompresji i możliwość uruchomienia aktywnego kodu. Brak takiej kontroli zwiększa ryzyko dostarczenia pliku, który wykorzystuje zaufanie odbiorcy lub podatność programu otwierającego dokument.

Jak złośliwy plik przechodzi do skrzynki odbiorczej

Najczęściej wykorzystywanym mechanizmem jest nakłonienie odbiorcy do otwarcia dokumentu, uruchomienia programu albo rozpakowania archiwum. Plik wykonywalny może mieć rozszerzenie EXE, MSI, SCR lub COM, ale zagrożenie może również znajdować się w dokumencie biurowym zawierającym makra, w skrypcie, w pliku HTML albo w skrócie systemu Windows z rozszerzeniem LNK. Atakujący często używają podwójnych rozszerzeń, na przykład nazwy sugerującej dokument, której końcowa część jest rozszerzeniem wykonywalnym. Widoczność nazwy zależy od ustawień systemu, dlatego samo spojrzenie na ikonę pliku nie jest wiarygodną kontrolą bezpieczeństwa.

Ryzyko dotyczy także formatów, które nie są bezpośrednio uruchamiane. Dokument PDF lub plik graficzny może wykorzystywać błąd w programie obsługującym dany format. Archiwum ZIP, RAR albo 7z może zawierać kilka plików, zagnieżdżone archiwa lub elementy zabezpieczone hasłem. Skaner może nie mieć dostępu do zawartości zaszyfrowanego archiwum, a część systemów ogranicza głębokość rozpakowywania, aby zapobiegać przeciążeniu podczas analizy. Dlatego brak komunikatu o wirusie nie oznacza, że załącznik jest bezpieczny, zwłaszcza gdy nie wiadomo, czy został rzeczywiście otwarty i przeanalizowany przez mechanizm ochronny.

Skutki pominięcia kontroli plików

Gdy załącznik nie jest sprawdzany, złośliwy program może zostać zapisany na dysku komputera, a następnie uruchomiony przez użytkownika. Skutkiem może być instalacja trojana, programu szpiegującego, ransomware albo narzędzia umożliwiającego nieautoryzowany dostęp do systemu. W przypadku makr dokument może próbować uruchomić polecenia po zmianie ustawień zabezpieczeń przez użytkownika. Nie każdy incydent rozpoczyna się natychmiastowym szyfrowaniem danych. Część programów najpierw zbiera informacje o systemie, przeglądarce, plikach lub zapisanych sesjach, a dopiero później wykonuje kolejne działania.

Brak skanowania może również powodować problemy z wykrywaniem plików o zmienionej zawartości. Tradycyjne sygnatury rozpoznają znane wzorce, natomiast nowe warianty złośliwego oprogramowania wymagają analizy heurystycznej, reputacyjnej albo behawioralnej. Ochrona może badać między innymi nietypowe odwołania do procesów systemowych, próby uruchomienia skryptu, modyfikowanie rejestru lub tworzenie plików wykonywalnych. Żaden pojedynczy mechanizm nie daje pełnej pewności, dlatego skanowanie załączników powinno być połączone z aktualnym programem ochronnym, filtrowaniem typów plików, blokowaniem niepotrzebnych makr i ostrożnością przy otwieraniu wiadomości.

Sprawdzenie ochrony poczty na komputerze

Diagnostykę należy rozpocząć od ustalenia, czy problem dotyczy serwera pocztowego, programu pocztowego, przeglądarki czy ochrony działającej bezpośrednio w systemie. Można sprawdzić, czy program antywirusowy ma aktywną ochronę poczty i plików, czy jego bazy są aktualne oraz czy załączniki są analizowane przed zapisaniem albo dopiero po otwarciu. Warto także zweryfikować ustawienia blokowania rozszerzeń wykonywalnych, ostrzeżenia dotyczące makr oraz zachowanie programu przy archiwach zabezpieczonych hasłem. Jeżeli wiadomość trafia do skrzynki bez żadnego ostrzeżenia, nie przesądza to jeszcze o całkowitym braku ochrony, ponieważ część filtrów działa po stronie dostawcy poczty, a część lokalnie.

Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów i komputerów PC, w tym diagnostykę działania ochrony systemu, programu pocztowego oraz podzespołów związanych z bezpiecznym użytkowaniem komputera. W ramach sprawdzania można przeanalizować konfigurację programu zabezpieczającego, historię wykryć, ustawienia obsługi załączników i nietypowe objawy po otwarciu podejrzanego pliku. Jeżeli załącznik został uruchomiony, sama zmiana hasła do poczty może być niewystarczająca; konieczne jest sprawdzenie procesów, autostartu, rozszerzeń przeglądarki i innych miejsc, w których złośliwe oprogramowanie może utrzymywać się po ponownym uruchomieniu systemu.