podwójne rozszerzenie pliku

Podwójne rozszerzenie pliku to technika maskowania programu wykonywalnego jako dokumentu, np. „faktura.pdf.exe”.

Jak działa podwójne rozszerzenie pliku

Podwójne rozszerzenie pliku polega na umieszczeniu dwóch członów po kropce w nazwie, na przykład „faktura.pdf.exe”, „zdjęcie.jpg.scr” albo „dokument.docx.lnk”. Sama obecność dwóch kropek nie oznacza jeszcze, że plik jest złośliwy, ponieważ system plików pozwala tworzyć nazwy zawierające wiele takich znaków. Istotne jest ostatnie rozszerzenie, czyli końcowy fragment nazwy. W przykładzie „faktura.pdf.exe” właściwym rozszerzeniem jest „.exe”, a nie „.pdf”. Rozszerzenie „.exe” wskazuje na plik wykonywalny programu w systemie Windows.

Technika ta wykorzystuje przyzwyczajenie użytkownika do rozpoznawania dokumentów po pierwszym rozszerzeniu. Fragment „.pdf” może sugerować fakturę lub instrukcję, natomiast końcowe „.exe” zmienia sposób obsługi pliku. Po uruchomieniu system może wykonać zawarty w nim program, który może wyświetlić dokument, zainstalować dodatkowe oprogramowanie, zmienić ustawienia albo wykonać inne działania zależne od uprawnień użytkownika.

Ukrywanie rozszerzeń w Eksploratorze Windows

Ryzyko pomyłki zwiększa ustawienie systemu Windows, w którym rozszerzenia znanych typów plików są ukrywane. W takim widoku nazwa „faktura.pdf.exe” może być prezentowana jako „faktura.pdf”, jeśli system ukrywa końcowe „.exe”. Użytkownik widzi wtedy nazwę przypominającą dokument, mimo że plik pozostaje programem wykonywalnym. Dodatkowe podobieństwo można uzyskać przez użycie ikony przypominającej ikonę dokumentu, chociaż ikona nie określa rzeczywistego typu ani bezpieczeństwa pliku.

Rozszerzenia można uwidocznić w ustawieniach widoku Eksploratora plików, wybierając opcję pokazywania rozszerzeń znanych typów plików. Po jej włączeniu pełna nazwa „faktura.pdf.exe” staje się widoczna. Warto również sprawdzić właściwości pliku: pole typu pliku powinno wskazywać, czy jest to aplikacja, skrót, skrypt, dokument czy inny obiekt. Zmiana samej nazwy, na przykład usunięcie końcówki „.exe”, nie jest bezpieczną metodą neutralizacji programu, ponieważ nie usuwa jego zawartości ani nie odwraca skutków wcześniejszego uruchomienia.

Rozpoznawanie i bezpieczna obsługa podejrzanej nazwy

Plik z nazwą sugerującą dokument, lecz kończącą się na „.exe”, „.scr”, „.bat”, „.cmd”, „.js”, „.vbs” albo „.lnk”, wymaga ostrożności. Są to różne typy obiektów, które mogą powodować wykonanie kodu lub uruchomienie innego programu. Nie należy otwierać takiego pliku z załącznika poczty elektronicznej, komunikatora, pobranego archiwum ani nośnika USB tylko dlatego, że pierwszy człon nazwy wygląda jak „.pdf”, „.jpg” lub „.docx”. Archiwum może dodatkowo zawierać plik o podobnej nazwie, dlatego warto rozpakowywać je tylko z zaufanego źródła i sprawdzać pełne rozszerzenia.

Jeżeli plik nie został uruchomiony, można go usunąć bez otwierania, opróżnić kosz i przeskanować system aktualnym programem zabezpieczającym. Gdy plik został uruchomiony, należy odłączyć komputer od sieci, aby ograniczyć dalszą komunikację programu, a następnie przeprowadzić pełne skanowanie. Nie powinno się logować z tego komputera do bankowości, poczty ani innych ważnych usług do czasu sprawdzenia systemu. W przypadku objawów takich jak samoczynne uruchamianie aplikacji, nowe rozszerzenia przeglądarki, blokowanie plików lub nietypowe komunikaty systemowe potrzebna jest analiza procesów, autostartu, plików tymczasowych i zdarzeń systemowych.

Sprawdzenie komputera po uruchomieniu takiego pliku

Diagnostyka powinna ustalić nie tylko nazwę podejrzanego pliku, lecz także jego pochodzenie, czas pobrania, podpis cyfrowy, sumę kontrolną oraz działania wykonane po uruchomieniu. Pomocne są informacje z właściwości pliku, historii pobierania, folderów autostartu, Menedżera zadań i dzienników systemowych. Sam brak ostrzeżenia antywirusa nie dowodzi bezpieczeństwa, ponieważ nowe lub zmodyfikowane programy mogą nie być jeszcze rozpoznane przez sygnatury. Z kolei nazwa z podwójnym rozszerzeniem nie jest dowodem infekcji bez analizy zawartości i zachowania pliku.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, w tym diagnostyką problemów powstałych po uruchomieniu podejrzanych plików. Zakres sprawdzenia może obejmować ocenę stanu systemu, usunięcie wykrytych niepożądanych programów oraz weryfikację poprawności działania komputera po zakończeniu prac.