otwarcie załącznika

Otwarcie załącznika to moment, w którym plik zostaje uruchomiony w aplikacji odbiorcy — najczęstszy punkt infekcji.

Moment uruchomienia pliku i jego znaczenie dla bezpieczeństwa

Otwarcie załącznika oznacza przejście od samego odebrania pliku do wykonania operacji przez program zainstalowany na komputerze. Klient poczty może jedynie zapisać załącznik na dysku, natomiast właściwe zagrożenie pojawia się zwykle po kliknięciu pliku i przekazaniu go do aplikacji, takiej jak edytor tekstu, arkusz kalkulacyjny, czytnik PDF, przeglądarka obrazów albo program do obsługi archiwów. Aplikacja interpretuje wtedy strukturę pliku, dekoduje jego zawartość i może uruchomić funkcje przewidziane przez format.

Nie każdy załącznik jest programem wykonywalnym. Ryzyko nie ogranicza się jednak do plików EXE. Dokument biurowy może zawierać makra, odwołania do zewnętrznych zasobów lub elementy wykorzystujące błąd w aplikacji. Plik PDF może zawierać skrypty JavaScript, formularze i osadzone obiekty, a archiwum ZIP może ukrywać wiele plików o mylących nazwach. Samo rozszerzenie nie zawsze opisuje rzeczywisty format, ponieważ nazwa może zostać zmieniona, a system może ukrywać znane rozszerzenia.

Jak załącznik trafia do właściwej aplikacji

System operacyjny wybiera program do otwarcia pliku na podstawie jego rozszerzenia oraz skonfigurowanych skojarzeń. Dokument z końcówką DOCX jest zwykle przekazywany do edytora obsługującego format Office Open XML, plik PDF do czytnika dokumentów, a archiwum ZIP do narzędzia kompresującego. Przed otwarciem warto sprawdzić pełną nazwę pliku, ponieważ zapis w rodzaju „faktura.pdf.exe” może wyglądać jak dokument, gdy rozszerzenia znanych typów są ukryte.

Znaczenie ma także sposób dostarczenia pliku. Wiadomość może zawierać załącznik bezpośredni, odnośnik do pobrania albo dokument przechowywany w chmurze. W dwóch ostatnich przypadkach kliknięcie może uruchomić przeglądarkę, pobieranie oraz kolejne przekierowania. Windows może oznaczyć plik pobrany z Internetu tak zwanym Mark of the Web, czyli informacją o pochodzeniu zapisaną w alternatywnym strumieniu danych NTFS. Ta informacja pozwala aplikacjom zastosować dodatkowe ostrzeżenia lub ograniczenia, ale nie zastępuje ostrożnej oceny wiadomości.

Makra, archiwa i inne elementy wymagające kontroli

Dokumenty Microsoft Office mogą zawierać makra zapisane między innymi w formatach DOCM, XLSM i PPTM. Makro jest kodem wykonywanym przez aplikację biurową, dlatego włączenie zawartości aktywnej powinno nastąpić dopiero po potwierdzeniu źródła pliku i oczekiwanego celu dokumentu. Sam komunikat „Włącz zawartość” nie jest dowodem, że dokument jest bezpieczny. Dokument wymagający makr do wyświetlenia zwykłej treści lub nakłaniający do zmiany ustawień zabezpieczeń wymaga dodatkowej weryfikacji.

Archiwa utrudniają ocenę zawartości, ponieważ pojedynczy załącznik może zawierać pliki wykonywalne, skrypty, skróty LNK albo kolejne archiwa. Przed wypakowaniem należy sprawdzić listę elementów i ich rozszerzenia. Nie powinno się uruchamiać pliku tylko dlatego, że jego ikona przypomina dokument lub obraz. Pomocne jest wyświetlanie rozszerzeń znanych typów plików, aktualizowanie systemu i aplikacji oraz korzystanie z ochrony antywirusowej, która może analizować plik podczas pobierania, zapisu albo próby uruchomienia.

Postępowanie po podejrzanym otwarciu załącznika

Jeżeli załącznik został otwarty przypadkowo, należy przerwać dalszą interakcję z dokumentem i nie zatwierdzać kolejnych monitów, zwłaszcza próśb o włączenie makr, instalację dodatku, podanie hasła lub uruchomienie polecenia. Warto zapisać podstawowe informacje o wiadomości, takie jak nadawca, temat, nazwa pliku i moment otwarcia, a następnie wykonać pełne skanowanie systemu aktualnym programem zabezpieczającym. Gdy pojawiły się nietypowe okna, samoczynne pobieranie plików albo nieznane procesy, komputer powinien zostać odłączony od sieci do czasu sprawdzenia sytuacji.

Diagnostyka może obejmować historię pobierania, folder plików tymczasowych, listę uruchamianych procesów, elementy autostartu, zadania zaplanowane oraz zdarzenia systemowe. Trzeba odróżnić samo zapisanie załącznika od faktycznego uruchomienia kodu, ponieważ te zdarzenia nie zawsze mają ten sam skutek. Warszawskie Pogotowie Komputerowe wykonuje profesjonalną diagnostykę i naprawę laptopów, komputerów PC oraz ich podzespołów, gdy po otwarciu podejrzanego pliku pojawiają się objawy infekcji, niestabilności systemu lub niepożądanych zmian w konfiguracji.