skompresowane załączniki

Skompresowane załączniki mogą ukrywać przed filtrami szkodliwą zawartość spakowanego pliku.

Skompresowane załączniki jako sposób pakowania danych

Skompresowane załączniki to pliki, których zawartość została umieszczona w specjalnym archiwum, aby zajmowała mniej miejsca albo mogła zostać przesłana jako jeden pakiet. Do popularnych formatów należą między innymi ZIP, RAR, 7Z oraz wybrane odmiany archiwów spotykane w poczcie elektronicznej i komunikatorach. W jednym archiwum można umieścić dokumenty tekstowe, arkusze, obrazy, instalatory, skrypty lub kolejne foldery. Po pobraniu taki załącznik trzeba otworzyć za pomocą programu obsługującego dany format, a następnie wypakować jego zawartość.

Samo skompresowanie pliku nie świadczy ani o jego bezpieczeństwie, ani o szkodliwości. Kompresja jest zwykłą metodą organizowania i przesyłania danych. Problem wynika z tego, że część mechanizmów ochronnych analizuje pocztę przede wszystkim na podstawie rozszerzenia, nazwy, rozmiaru oraz łatwo dostępnej treści. Archiwum może więc utrudnić automatyczne rozpoznanie tego, co znajduje się w środku. Po rozpakowaniu pojawiają się dopiero właściwe pliki, a wraz z nimi możliwość uruchomienia niepożądanego programu albo wykorzystania podatności w używanym oprogramowaniu.

Skompresowane załączniki a działanie filtrów pocztowych

Filtry pocztowe próbują oceniać wiadomości na wielu poziomach. Sprawdzane bywają dane nadawcy, temat, treść wiadomości, odsyłacze, typ załącznika oraz jego charakterystyczne cechy. W przypadku zwykłego dokumentu możliwe jest przeanalizowanie jego struktury i wykrycie podejrzanych elementów. Archiwum tworzy dodatkową warstwę, ponieważ najpierw trzeba je otworzyć, a dopiero później zbadać pliki znajdujące się wewnątrz. Nie każdy filtr rozpakowuje archiwa, a niektóre robią to tylko do określonego poziomu zagnieżdżenia.

Szczególną ostrożność należy zachować wtedy, gdy archiwum zawiera plik wykonywalny, skrypt, dokument z makrami albo plik o podwójnym rozszerzeniu. Nazwa może sugerować fotografię lub dokument, choć końcowy typ wskazuje na możliwość uruchomienia kodu. Dodatkowe ryzyko pojawia się przy archiwach zabezpieczonych hasłem. Hasło może uniemożliwić automatyczne sprawdzenie zawartości, a osoba odbierająca wiadomość otrzymuje instrukcję wpisania go z treści maila. Nie oznacza to, że każde archiwum z hasłem jest niebezpieczne, lecz taki sposób przesyłania powinien skłaniać do dokładniejszej weryfikacji.

Warto odróżnić kompresję od szyfrowania. Kompresja zmniejsza objętość danych lub porządkuje wiele plików w jeden pakiet. Szyfrowanie ma utrudnić odczyt bez właściwego klucza albo hasła. Niektóre formaty archiwów łączą obie funkcje, dlatego z punktu widzenia ochrony poczty mogą być trudniejsze do automatycznej oceny. W praktyce o bezpieczeństwie decyduje nie sama nazwa formatu, ale źródło wiadomości, kontekst kontaktu oraz rodzaj plików znajdujących się w środku.

Skompresowane załączniki i typowe problemy przy otwieraniu

Jednym z częstych problemów jest brak programu obsługującego określony format. System może wtedy wyświetlać komunikat o nieznanym typie pliku albo proponować wyszukiwanie aplikacji. Nie powinno się instalować przypadkowego narzędzia znalezionego w reklamie czy w niepewnym serwisie. Program do rozpakowywania najlepiej pobrać ze strony jego producenta lub z zaufanego katalogu systemowego. Przed instalacją warto sprawdzić, czy nazwa pliku odpowiada rzeczywistemu formatowi i czy archiwum pochodzi z oczekiwanego źródła.

Inna sytuacja występuje wtedy, gdy archiwum jest uszkodzone, niepełne albo zostało pobrane tylko częściowo. Może to powodować błędy kontroli integralności, brak wybranych elementów lub komunikat o nieprawidłowym nagłówku. Nie zawsze oznacza to próbę ataku. Przyczyną może być przerwane pobieranie, filtr załączników, błąd programu pocztowego albo zmiana nazwy pliku. Ponowne przesłanie materiału innym kanałem może pomóc ustalić, czy problem dotyczy samego pliku, czy urządzenia.

Ryzyko zwiększa się także wtedy, gdy po rozpakowaniu pojawia się wiele folderów o niejasnych nazwach, skróty zamiast dokumentów lub pliki proszące o włączenie dodatkowych funkcji. Dokument nie powinien wymagać wyłączenia ochrony systemu, uruchomienia nieznanego instalatora ani zezwolenia na nietypowe działania. W razie wątpliwości można przerwać otwieranie, zachować wiadomość do analizy i skontaktować się z osobą, która miała ją wysłać, korzystając z wcześniej znanego numeru lub adresu.

Skompresowane załączniki a dokumenty, obrazy i instalatory

Znaczenie archiwum zależy od jego zawartości. Paczka kilku zdjęć może być wygodnym sposobem przesłania materiałów, zwłaszcza gdy pliki mają zostać zachowane w jednym folderze. Archiwum z dokumentami biurowymi wymaga sprawdzenia nazw, rozszerzeń i pochodzenia plików. Instalator umieszczony w środku powinien być traktowany ostrożniej niż zwykły obraz lub dokument, ponieważ jego uruchomienie może zmienić ustawienia systemu i dodać nowe składniki.

Przy porównywaniu metod wysyłki należy uwzględnić nie tylko rozmiar pliku, ale także możliwość weryfikacji treści. Zwykły załącznik bywa łatwiejszy do przeanalizowania przez program pocztowy, natomiast archiwum może uprościć organizację wielu elementów, lecz utrudnić automatyczną kontrolę. Udostępnienie pliku przez zaufany panel może zapewnić dodatkowe informacje o osobie udostępniającej i czasie przesłania, jednak również wtedy trzeba ocenić, czy wiadomość i odsyłacz są autentyczne.

Pomocne bywa stosowanie nazw opisujących zawartość oraz przekazywanie hasła innym kanałem, gdy rzeczywiście jest potrzebne. Hasło nie powinno być umieszczane w tej samej wiadomości co archiwum, jeśli celem jest ograniczenie dostępu do danych. Nie zastępuje ono jednak ostrożności. Osoba odbierająca plik powinna wiedzieć, kto go wysłał, czego dotyczy oraz dlaczego potrzebne jest rozpakowanie. Brak takiego kontekstu jest powodem do wstrzymania działania.

Skompresowane załączniki — praktyczne zasady bezpiecznego postępowania

Przed otwarciem warto sprawdzić adres nadawcy, temat wiadomości, styl komunikatu i zgodność załącznika z wcześniejszą rozmową. Sama znajomość nazwy firmy lub osoby nie wystarcza, ponieważ dane nadawcy mogą zostać podrobione albo wykorzystane w wiadomości podszywającej się pod znany kontakt. Nie należy otwierać archiwum wyłącznie dlatego, że w treści pojawia się presja czasu, informacja o rzekomej blokadzie konta lub prośba o natychmiastowe potwierdzenie danych.

Bezpieczniejszy schemat obejmuje zapisanie załącznika bez uruchamiania jego zawartości, przeskanowanie pliku aktualnym programem ochronnym, wyświetlenie listy elementów archiwum i ocenę ich rozszerzeń. Jeżeli w środku znajdują się skrypty, instalatory, skróty lub dokumenty żądające włączenia dodatkowych funkcji, powinno się zachować szczególną ostrożność. W razie niepewności można przesłać wiadomość do analizy osobie zajmującej się obsługą sprzętu, bez uruchamiania podejrzanych elementów.

Do serwisu warto zgłosić się wtedy, gdy po otwarciu archiwum pojawiają się nietypowe komunikaty, samoczynnie uruchamiają się programy, zmienia się działanie przeglądarki, system zaczyna wyświetlać liczne ostrzeżenia albo plik znika z poczty mimo braku działania użytkownika. Pomoc może być również potrzebna, gdy nie udaje się ustalić, czy archiwum jest uszkodzone, czy jego zawartość została zablokowana przez ochronę. Warszawskie Pogotowie Komputerowe 24/7 może w takiej sytuacji pomóc w sprawdzeniu pliku, systemu pocztowego i podstawowych objawów po kontakcie ze skompresowanym załącznikiem.