manipulacja nazwą pliku

Manipulacja nazwą pliku to ukrycie rzeczywistego rozszerzenia załącznika, np. przez podwójne rozszerzenie lub znaki sterujące.

Mechanizm manipulacji nazwą pliku

Manipulacja nazwą pliku to technika socjotechniczno-technologiczna stosowana przez cyberprzestępców, mająca na celu zamaskowanie prawdziwego typu pliku i skłonienie użytkownika do jego otwarcia. W środowiskach graficznych systemów operacyjnych ikona oraz domyślny sposób interpretacji danych zależą od rozszerzenia. Atakujący modyfikują strukturę znakową pliku tak, aby wykonywalny kod (np. aplikacje .exe, skrypty .vbs, .js czy archiwa) przypominał bezpieczny dokument tekstowy, arkusz kalkulacyjny bądź obraz. Celem takiego zabiegu jest ominięcie czujności użytkownika oraz w wielu przypadkach oszukanie podstawowych filtrów poczty elektronicznej lub skanerów antywirusowych.

Stosowane metody i kontekst techniczny

Jedną z najprostszych metod jest stosowanie podwójnych rozszerzeń, takich jak faktura.pdf.exe, co w połączeniu z domyślnie włączoną w systemie Windows opcją ukrywania znanych rozszerzeń sprawia, że odbiorca widzi jedynie nazwę faktura.pdf. Bardziej zaawansowane podejście wykorzystuje specjalny znak Unicode – Right-to-Left Override (RLO, kod U+202E). Znak ten odwraca kierunek wyświetlania kolejnych liter. Plik o nazwie raport_[RLO]cod.exe jest prezentowany w menedżerze plików jako raport_exe.doc, choć system operacyjny nadal wykonuje go jako aplikację. Dodatkowo przestępcy stosują długie ciągi spacji, ukrywające właściwe rozszerzenie poza widocznym polem tekstowym, oraz przypisują fałszywe ikony tożsame z popularnymi programami biurowymi.

Zagrożenia i typowe skutki uruchomienia spreparowanego pliku

Otwarcie pliku z zamaskowanym rozszerzeniem prowadzi do natychmiastowego wykonania niepożądanego kodu w systemie operacyjnym. Najczęstsze konsekwencje obejmują instalację oprogramowania szpiegującego (spyware), trojanów kradnących dane uwierzytelniające do bankowości czy infekcję ransomware, która szyfruje lokalne dyski i zasoby sieciowe. Błędem ze strony użytkowników jest poleganie wyłącznie na wyświetlanej ikonie lub pobieżnym odczytaniu nazwy bez weryfikacji szczegółowych właściwości pobranego obiektu, co w środowisku domowym i firmowym bywa główną przyczyną naruszenia integralności danych.

Pomoc specjalistyczna i usuwanie skutków infekcji

W przypadku podejrzenia uruchomienia zmanipulowanego załącznika lub zauważenia nietypowego zachowania systemu, takiego jak spowolnienie pracy, modyfikacja plików czy blokada dostępu do danych, wskazane jest odłączenie sprzętu od sieci i przekazanie go ekspertom. Zespół, który tworzy Warszawskie Pogotowie Komputerowe 24/7 (telefon +48 22 100 48 29), przeprowadza gruntowną analizę powłamaniową, bezpiecznie usuwa złośliwy kod z rejestru i autostartu oraz pomaga przywrócić stabilność całego środowiska operacyjnego.