JS jako załącznik

JS jako załącznik to plik skryptu JavaScript dołączony do wiadomości — częsty nośnik złośliwego oprogramowania.

Plik JavaScript dołączony do wiadomości

JS jako załącznik to plik zawierający kod JavaScript zapisany zwykle z rozszerzeniem .js. W odróżnieniu od skryptu uruchamianego w przeglądarce taki plik może być potraktowany przez system operacyjny jako skrypt przeznaczony do wykonania poza stroną internetową. Samo rozszerzenie nie dowodzi, że plik jest złośliwy, ale załącznik JS otrzymany niespodziewanie, bez wyraźnego kontekstu i od nieznanego nadawcy, powinien być uznany za potencjalnie niebezpieczny.

W środowisku Windows pliki JavaScript mogą być obsługiwane przez Windows Script Host. Do uruchamiania skryptów służą między innymi interpretery wscript.exe oraz cscript.exe. W zależności od konfiguracji systemu i skojarzeń plików dwukrotne kliknięcie załącznika może otworzyć skrypt w odpowiednim interpreterze albo wyświetlić ostrzeżenie. Kod JS może następnie wykonywać operacje dostępne dla procesu użytkownika, na przykład uruchamiać inne programy, tworzyć pliki, odczytywać dostępne lokalnie dane lub łączyć się z adresem internetowym.

Dlaczego załącznik JS bywa wykorzystywany w atakach

Skrypt JavaScript może stanowić pierwszy etap infekcji. Po uruchomieniu kod może pobrać kolejny plik, zapisać go w katalogu użytkownika i przekazać do wykonania innemu programowi. Często nie chodzi więc o to, aby cały złośliwy program znajdował się bezpośrednio w załączniku. Niewielki skrypt może pełnić funkcję pobieracza, czyli kodu przygotowującego pobranie właściwego ładunku z serwera znajdującego się w internecie.

Napastnicy wykorzystują również nazwy plików sugerujące dokument, fakturę, potwierdzenie płatności albo formularz. Rzeczywiste rozszerzenie może być trudne do zauważenia, zwłaszcza gdy system ukrywa znane rozszerzenia plików. Nazwa w rodzaju dokument.pdf.js nadal oznacza skrypt JS, a nie dokument PDF. Dodatkowe ryzyko występuje wtedy, gdy załącznik jest umieszczony w archiwum, a treść wiadomości nakłania do wyłączenia ostrzeżeń lub ręcznego uruchomienia pliku. Wiarygodność nazwy nadawcy nie jest wystarczającym dowodem bezpieczeństwa, ponieważ adresy i nazwy wyświetlane w programie pocztowym mogą zostać sfałszowane albo konto nadawcy może być przejęte.

Bezpieczna analiza podejrzanego skryptu

Nie należy otwierać załącznika JS przez dwukrotne kliknięcie ani uruchamiać go z menu kontekstowego. Najpierw trzeba sprawdzić pełną nazwę pliku, rzeczywiste rozszerzenie oraz źródło wiadomości. Jeżeli załącznik został pobrany na komputer, można go poddać analizie narzędziem antywirusowym bez wykonywania. Warto również zachować oryginalną wiadomość wraz z nagłówkami, ponieważ zawierają informacje pomocne przy ustaleniu drogi dostarczenia poczty i domen użytych przez nadawcę.

Analiza tekstowa pliku może ujawnić odwołania do wscript, cscript, powershell, cmd, adresów URL, poleceń kodujących dane lub nazw plików zapisywanych w katalogach tymczasowych. Taki odczyt nie daje jednak pewności, że skrypt jest bezpieczny. Kod może być zaciemniony, czyli zapisany w sposób utrudniający zrozumienie jego działania, na przykład przez łączenie wielu fragmentów tekstu albo kodowanie ciągów znaków. Do bezpiecznego uruchamiania podejrzanego pliku potrzebne jest odizolowane środowisko analityczne, ponieważ wykonanie skryptu na zwykłym koncie może spowodować zmianę systemu lub ujawnienie danych.

Postępowanie po uruchomieniu załącznika JS

Jeżeli plik został uruchomiony, należy przerwać dalszą pracę na komputerze i odłączyć urządzenie od sieci, gdy istnieje podejrzenie aktywnego połączenia z nieznanym adresem. Nie powinno się pochopnie usuwać wszystkich plików ani czyścić historii, ponieważ takie działania mogą utrudnić ustalenie przebiegu zdarzenia. Trzeba zanotować nazwę załącznika, godzinę uruchomienia, wyświetlone komunikaty oraz nietypowe zachowanie systemu, takie jak pojawienie się okna konsoli, nowych procesów, plików lub połączeń sieciowych.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, a w przypadku podejrzenia uruchomienia złośliwego skryptu można zlecić diagnostykę komputera obejmującą sprawdzenie procesów, elementów startowych, plików i podstawowych śladów aktywności. Wynik takiej analizy powinien rozróżniać samo pobranie załącznika od jego wykonania oraz wskazywać, czy na komputerze występują oznaki dalszego działania złośliwego kodu. Jeżeli używane były hasła po uruchomieniu pliku, należy zmienić je z zaufanego urządzenia, szczególnie gdy skrypt mógł uzyskać dostęp do przeglądarki lub lokalnych plików.