CMD w załączniku

CMD w załączniku to podejrzana zawartość pliku wykonywalnego wiersza poleceń, mogąca stanowić zagrożenie bezpieczeństwa.

Plik CMD jako załącznik poczty elektronicznej

Rozszerzenie .cmd oznacza plik wsadowy przeznaczony do uruchomienia przez interpreter wiersza poleceń systemu Windows, zwykle cmd.exe. Taki plik jest tekstowym zestawem poleceń wykonywanych kolejno, a nie klasycznym plikiem binarnym, takim jak program zapisany w formacie EXE. Może zawierać między innymi polecenia uruchamiania innych programów, kopiowania i usuwania plików, zmiany katalogów, modyfikowania zmiennych środowiskowych oraz wywoływania kolejnych skryptów. Do działania nie wymaga kompilacji, ponieważ polecenia są interpretowane podczas uruchamiania.

Określenie „CMD w załączniku” nie opisuje jednej konkretnej funkcji systemowej, lecz sytuację, w której plik .cmd został dołączony do wiadomości lub pobrany z komunikatora, formularza albo strony internetowej. Samo rozszerzenie nie dowodzi jeszcze, że plik jest złośliwy. Jest jednak sygnałem ostrzegawczym, ponieważ uruchomienie skryptu może rozpocząć serię działań niewidocznych na pierwszy rzut oka. Szczególne znaczenie ma źródło wiadomości, zgodność treści załącznika z oczekiwaniami oraz to, czy polecenia zapisane w pliku są zrozumiałe i uzasadnione.

Jakie działania może wykonywać skrypt .cmd

Plik wsadowy może korzystać z poleceń dostępnych w środowisku Windows, na przykład set, cd, copy, move, del, taskkill, reg, schtasks lub powershell. Nie wszystkie z nich są niebezpieczne same w sobie. Polecenie cd zmienia bieżący katalog, a set ustawia zmienną środowiskową. Z kolei del może usuwać pliki, reg może modyfikować rejestr systemu, a schtasks może tworzyć albo zmieniać zadania uruchamiane automatycznie. Ocena ryzyka zależy więc od całej zawartości skryptu, parametrów poleceń i uprawnień procesu.

Skrypt może również uruchomić plik pobrany wcześniej do katalogu tymczasowego, przekazać dane do innego programu albo wyłączyć wybrane procesy. Jeżeli zostanie uruchomiony z podwyższonymi uprawnieniami, jego możliwości mogą obejmować obszary niedostępne dla zwykłego konta użytkownika. Nie należy zakładać, że brak widocznego okna oznacza brak działania. W pliku mogą znajdować się instrukcje uruchamiające proces w tle, przekierowujące komunikaty do pliku lub zamykające okno po wykonaniu poleceń.

Bezpieczne sprawdzenie podejrzanego załącznika

Nie należy otwierać podejrzanego pliku .cmd dwuklikiem ani wybierać opcji uruchomienia z menu kontekstowego. Samo wyświetlenie rozszerzenia w Eksploratorze plików nie wykonuje skryptu, ale w systemie z ukrytymi rozszerzeniami łatwo pomylić nazwę, na przykład dokument.pdf.cmd z dokumentem PDF. Przed analizą warto zapisać oryginalny plik bez zmieniania jego nazwy, zanotować źródło oraz zachować wiadomość, z którą został dostarczony. Nie powinno się także odpowiadać nadawcy przez użycie danych kontaktowych z podejrzanej wiadomości.

Podstawowa analiza może polegać na otwarciu kopii pliku w edytorze tekstu, a nie przez jego wykonanie. Należy zwrócić uwagę na polecenia usuwania danych, modyfikowania rejestru, tworzenia zadań automatycznych, pobierania kolejnych plików oraz uruchamiania powershell.exe, mshta.exe, wscript.exe albo rundll32.exe. Podejrzane mogą być również długie ciągi znaków zakodowane w formacie Base64, polecenia ukrywania błędów przez przekierowanie do nul oraz konstrukcje utrudniające czytanie, takie jak wielokrotne użycie zmiennych i znaków specjalnych. Analiza tekstu nie daje jednak pewności bezpieczeństwa, ponieważ skrypt może pobierać właściwy kod dopiero po uruchomieniu.

Postępowanie po przypadkowym uruchomieniu CMD

Jeżeli plik został uruchomiony, należy możliwie szybko przerwać działanie otwartego okna wiersza poleceń, odłączyć komputer od sieci przewodowej lub bezprzewodowej i nie logować się na kolejnych stronach z tego urządzenia. Nie należy automatycznie usuwać wszystkich śladów, ponieważ nazwa pliku, godzina uruchomienia, wiadomość źródłowa i komunikaty systemowe mogą pomóc w ustaleniu przebiegu zdarzenia. Jeżeli skrypt wyświetlił prośbę o podanie hasła, kodu jednorazowego lub uruchomienie dodatkowego programu, nie wolno tych czynności kontynuować.

Diagnostyka powinna obejmować sprawdzenie procesów, programów uruchamianych wraz z systemem, zadań zaplanowanych, ostatnio utworzonych plików oraz zmian w ustawieniach systemu. W zależności od wyniku konieczne może być skanowanie z użyciem aktualnych narzędzi ochrony systemu, przywrócenie bezpiecznej konfiguracji albo odtworzenie danych z niezależnej kopii zapasowej. Hasła używane na tym komputerze warto zmienić z innego, zaufanego urządzenia, zwłaszcza jeśli skrypt mógł uruchomić dodatkowe oprogramowanie. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, dlatego może przeprowadzić diagnostykę komputera po podejrzanym uruchomieniu skryptu oraz sprawdzić podstawowe oznaki ingerencji w system.