ukryte rozszerzenie

Ukryte rozszerzenie to technika maskowania prawdziwego typu pliku, wykorzystywana do dostarczania malware.

Na czym polega ukryte rozszerzenie pliku

Ukryte rozszerzenie to sposób prezentowania nazwy pliku, w którym system lub aplikacja nie pokazuje użytkownikowi końcowego fragmentu po ostatniej kropce. W systemie Windows Eksplorator plików może ukrywać rozszerzenia plików rozpoznawanych jako znane, na przykład .exe, .scr, .js, .vbs, .docx albo .pdf. W takim ustawieniu plik zapisany jako rachunek.pdf.exe może być wyświetlony jako rachunek.pdf. Rzeczywisty typ nadal wynika z ostatniego rozszerzenia oraz sposobu obsługi pliku przez system, a nie z nazwy widocznej w uproszczonym widoku.

Technika ta jest wykorzystywana w kampaniach złośliwego oprogramowania, ponieważ nazwa pliku może sugerować dokument, obraz lub archiwum, mimo że końcowy typ wskazuje na program wykonywalny albo skrypt. Przykładowo faktura.jpg.exe nie jest zdjęciem JPEG. Po uruchomieniu system traktuje go jako plik wykonywalny programu. Samo ukrywanie rozszerzeń nie tworzy malware, ale utrudnia rozpoznanie, jaki typ pliku użytkownik faktycznie otwiera.

Podwójne rozszerzenia i inne sposoby maskowania typu

Najczęściej spotykanym wariantem jest użycie nazwy z dwoma rozszerzeniami, takiej jak zdjecie.png.scr, dokument.docx.exe lub archiwum.zip.js. Pierwszy fragment ma wywołać skojarzenie z bezpiecznym dokumentem albo obrazem, natomiast ostatni fragment decyduje o klasyfikacji pliku. Rozszerzenie .scr jest obsługiwane przez Windows jako plik wygaszacza ekranu, ale technicznie może zawierać kod wykonywalny. Rozszerzenia skryptowe, między innymi .js i .vbs, mogą uruchamiać polecenia za pośrednictwem odpowiednich składników systemu.

Maskowanie może obejmować także spacje, wiele kropek, bardzo długie nazwy, podobne znaki oraz ikony przypominające dokument. W starszych lub niektórych niestandardowych konfiguracjach spotykano również znaki sterujące kierunkiem tekstu, które zmieniały kolejność wyświetlania fragmentów nazwy. Odbiorca powinien oceniać pełną nazwę i rzeczywisty typ pliku, a nie ikonę, opis lub nazwę nadaną przez nadawcę. Plik skompresowany może dodatkowo zawierać kolejne podejrzane załączniki, dlatego sprawdzenie samego archiwum nie wystarcza.

Jak rozpoznać rzeczywisty typ przed otwarciem

W Windows można włączyć widoczność rozszerzeń w Eksploratorze plików, korzystając z menu widoku folderów i opcji dotyczącej rozszerzeń znanych typów plików. Po tej zmianie pełna nazwa faktura.pdf.exe pozostaje widoczna, a użytkownik może zauważyć, że końcowym rozszerzeniem jest .exe, a nie .pdf. Należy zwrócić uwagę także na lokalizację pliku, źródło wiadomości, niespodziewaną prośbę o włączenie zawartości oraz rozszerzenia takie jak .exe, .scr, .cmd, .bat, .js, .vbs i .lnk.

Nie należy zmieniać rozszerzenia w celu „naprawienia” pliku ani uruchamiać podejrzanego załącznika tylko po to, aby sprawdzić jego zawartość. Zmiana nazwy z .exe na .pdf nie konwertuje programu do dokumentu. Bezpieczniejszym postępowaniem jest zapisanie pliku bez otwierania, sprawdzenie jego właściwości i pełnej nazwy, a następnie przeskanowanie go aktualnym programem ochronnym. W przypadku pliku otrzymanego pocztą warto zweryfikować wiadomość innym kanałem, ponieważ sama nazwa nadawcy lub temat korespondencji nie potwierdzają autentyczności załącznika.

Sprawdzenie komputera po uruchomieniu zamaskowanego pliku

Jeżeli użytkownik uruchomił plik z ukrytym lub podwójnym rozszerzeniem, powinien odłączyć komputer od sieci, szczególnie gdy pojawiły się nieznane okna, nagłe spowolnienie, komunikaty o błędach, zmiany w przeglądarce albo nietypowa aktywność dysku. Nie należy wpisywać haseł ani podłączać kolejnych nośników przed wykonaniem diagnostyki. Warto zapisać nazwę pliku, godzinę uruchomienia i źródło wiadomości, ponieważ te informacje ułatwiają późniejszą analizę. Samo usunięcie pliku może nie usunąć skutków działania programu, jeśli wcześniej utworzył on dodatkowe pliki, zmienił ustawienia startowe lub pobrał następne składniki.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, w tym sprawdzaniem systemu po uruchomieniu podejrzanego załącznika. Taka kontrola może obejmować analizę procesów, elementów uruchamianych wraz z systemem, zadań zaplanowanych, ustawień przeglądarki oraz wyników skanowania zabezpieczeń. Zakres czynności zależy od objawów i od tego, czy komputer nadal działa stabilnie. Przy podejrzeniu kradzieży haseł konieczna jest również zmiana danych dostępowych z innego, zaufanego urządzenia.