plik wykonywalny w archiwum

Plik wykonywalny w archiwum to typowa metoda dostarczania malware, obchodząca filtry blokujące bezpośrednie załączniki.

Jak działa plik wykonywalny umieszczony w archiwum

Plik wykonywalny w archiwum to program zapisany wewnątrz kontenera takiego jak ZIP, RAR, 7z albo inny format kompresji. Samo archiwum nie musi być szkodliwe, jednak może ukrywać plik, który po uruchomieniu wykonuje instrukcje systemowe. Typowymi rozszerzeniami plików wykonywalnych w środowisku Windows są EXE, SCR, COM, MSI, BAT, CMD, JS, VBS i PS1. Niektóre z nich są programami w klasycznym sensie, a inne zawierają skrypty uruchamiane przez interpreter systemowy.

Mechanizm ten jest często wykorzystywany w kampaniach malware, ponieważ filtr poczty lub komunikatora może traktować archiwum inaczej niż bezpośredni załącznik wykonywalny. W archiwum mogą znajdować się także dodatkowe pliki, na przykład dokument przynętowy, skrót LNK albo plik z nazwą sugerującą fotografię lub fakturę. Ryzyko nie wynika z samej kompresji, lecz z połączenia archiwum z nieznanym źródłem, mylącą nazwą, ukrytym rozszerzeniem i nakłanianiem do uruchomienia zawartości.

Rozszerzenia, nazwy i ostrzeżenia systemowe

Windows może ukrywać znane rozszerzenia plików, dlatego nazwa widoczna w Eksploratorze nie zawsze pokazuje pełny typ obiektu. Plik nazwany na przykład „dokument.pdf.exe” może być wyświetlany jako „dokument.pdf”, jeżeli rozszerzenia są ukryte. Podobnie skrót LNK może mieć ikonę przypominającą dokument lub folder, chociaż po kliknięciu uruchamia polecenie zapisane we właściwościach skrótu. W archiwach spotyka się również nazwy zawierające wiele spacji albo znaki mające odwrócić uwagę od końcowego rozszerzenia.

Przed otwarciem archiwum należy sprawdzić rzeczywistą nazwę pliku, źródło wiadomości oraz oczekiwać takiego załącznika w danym kontekście. Szczególną ostrożność trzeba zachować wobec archiwów zabezpieczonych hasłem. Hasło może uniemożliwić skanerowi poczty sprawdzenie zawartości przed dostarczeniem wiadomości. Ostrzeżenie Kontroli konta użytkownika, komunikat SmartScreen albo prośba o zgodę na uruchomienie nie są dowodem infekcji, ale powinny skłonić do przerwania operacji, gdy pochodzenie pliku nie jest pewne.

Bezpieczne sprawdzanie zawartości archiwum

Archiwum pochodzące z nieznanego źródła można pozostawić nieotwarte i usunąć dopiero po sprawdzeniu wiadomości innym kanałem. Jeżeli plik musi zostać przeanalizowany, warto najpierw zapisać go bez uruchamiania zawartości, wyświetlić pełne rozszerzenia w systemie i sprawdzić listę elementów za pomocą programu do obsługi archiwów. Nie należy otwierać znajdujących się tam programów, skryptów ani skrótów tylko po to, aby zobaczyć ich treść. Podgląd dokumentu także może być ryzykowny, jeśli aplikacja próbuje automatycznie uruchomić osadzone makra lub inne komponenty.

Przydatne jest porównanie pliku z niezależnym źródłem, sprawdzenie podpisu cyfrowego oraz przeskanowanie go aktualnym programem ochronnym. Brak podpisu nie oznacza automatycznie malware, a obecność podpisu nie gwarantuje bezpieczeństwa, ponieważ podpisany program może zostać nadużyty albo pochodzić od nieznanego dostawcy. W przypadku podejrzenia uruchomienia złośliwego pliku należy przerwać dalszą pracę, odłączyć komputer od sieci, nie kasować pochopnie dowodów i skonsultować stan systemu z osobą wykonującą diagnostykę. Nie powinno się wpisywać haseł ani logować do bankowości na komputerze, którego zachowanie po otwarciu archiwum wzbudza podejrzenia.

Diagnostyka skutków uruchomienia podejrzanego pliku

Objawy po uruchomieniu pliku wykonywalnego w archiwum mogą obejmować samoczynne pojawianie się okien, spowolnienie systemu, nietypowe obciążenie procesora lub dysku, wyłączanie zabezpieczeń, zmiany w przeglądarce, nowe zadania uruchamiane przy starcie oraz nieoczekiwane komunikaty o szyfrowaniu danych. Żaden pojedynczy objaw nie przesądza o infekcji, ponieważ podobne zachowanie mogą powodować błędy systemu, uszkodzone sterowniki albo niepożądane programy. Diagnostyka powinna obejmować historię uruchomionych aplikacji, autostart, zadania zaplanowane, rozszerzenia przeglądarki, logi zabezpieczeń oraz stan plików użytkownika.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, w tym diagnostyką problemów powstałych po uruchomieniu podejrzanych plików. Zakres czynności zależy od objawów i stanu urządzenia; może obejmować ocenę systemu, usunięcie niepożądanych komponentów, kontrolę działania zabezpieczeń oraz sprawdzenie, czy dane użytkownika są dostępne. W razie podejrzenia utraty lub zaszyfrowania danych nie należy podejmować przypadkowych prób naprawy, instalować wielu niesprawdzonych narzędzi ani nadpisywać dysku, ponieważ może to utrudnić późniejszą analizę i odzyskanie informacji.