załącznik COM

Załącznik COM to starszy format pliku wykonywalnego DOS, rzadko dziś spotykany, ale nadal potencjalnie szkodliwy.

Budowa i sposób uruchamiania załącznika COM

Załącznik COM jest plikiem wykonywalnym wywodzącym się z systemu operacyjnego DOS. W odróżnieniu od formatów EXE nie zawiera rozbudowanego nagłówka opisującego sekcje programu, relokacje, wymagania pamięci ani punkt wejścia zapisany w osobnej strukturze. System DOS traktuje zawartość pliku jako bezpośredni obraz programu i ładuje ją do pamięci w segmencie procesu. Standardowy punkt rozpoczęcia wykonywania znajduje się pod adresem 0100h, ponieważ niższy obszar segmentu zajmuje PSP, czyli Program Segment Prefix zawierający informacje kontrolne procesu.

Program COM działa w jednym segmencie pamięci, dlatego kod, dane i stos korzystają z tej samej przestrzeni adresowej. Z tego powodu klasyczne pliki COM miały ograniczenia wynikające z rozmiaru pojedynczego segmentu DOS i w praktyce ich obraz musiał mieścić się poniżej 64 KiB, z uwzględnieniem miejsca zajmowanego przez PSP. Format nie zapewnia mechanizmu automatycznego dzielenia programu na wiele segmentów ani późniejszego wiązania adresów przez loader. Programista lub narzędzie tworzące plik musiało przygotować kod tak, aby działał w określonym układzie pamięci.

Różnice między COM, EXE i współczesnymi formatami

Najważniejsza różnica między COM a EXE dotyczy sposobu opisania programu. Plik EXE zawiera nagłówek, informacje o relokacjach oraz dane potrzebne systemowi do przygotowania segmentów i uruchomienia większej aplikacji. Plik COM jest znacznie prostszy: jego pierwsze bajty są zwykle instrukcjami procesora, a nie strukturą identyfikującą format. Typowe programy COM tworzono dla 16-bitowego środowiska DOS i procesorów zgodnych z rodziną x86.

Rozszerzenie nazwy nie jest jednak samodzielnym dowodem bezpieczeństwa ani pełnej charakterystyki pliku. W czasach DOS rozszerzenie COM wskazywało na wykonywalny program, podobnie jak rozszerzenia EXE i BAT, ale o tym, czy plik rzeczywiście zawiera poprawny kod, decydowała jego zawartość oraz sposób interpretacji przez system. Współczesne systemy operacyjne zwykle nie uruchamiają natywnie 16-bitowych programów DOS. W 64-bitowych wydaniach Windows brak jest komponentu NTVDM obsługującego takie aplikacje, dlatego do uruchomienia starego programu potrzebne może być odpowiednio skonfigurowane środowisko emulujące DOS. Samo otwarcie lub przeskanowanie pliku nie oznacza jego wykonania.

Dlaczego załącznik COM może być niebezpieczny

Plik COM może zawierać dowolny kod wykonywany z uprawnieniami procesu, który go uruchamia. Format nie ma wbudowanych zabezpieczeń ograniczających działanie programu, kontroli pochodzenia ani mechanizmu podpisu cyfrowego. Złośliwy program zapisany jako COM może próbować modyfikować pliki, uruchamiać kolejne polecenia, zmieniać konfigurację środowiska DOS albo wykorzystywać błędy emulatora i programu obsługującego stary kod. Ryzyko wynika więc z wykonywalnego charakteru pliku i jego pochodzenia, a nie z faktu, że każdy załącznik COM jest z definicji szkodliwy.

Szczególną ostrożność należy zachować przy plikach otrzymanych pocztą elektroniczną, pobranych z nieznanej strony albo przekazanych razem z dokumentem, którego użytkownik się nie spodziewał. Nie należy zmieniać rozszerzenia tylko po to, aby wymusić otwarcie pliku, ani uruchamiać go w nieznanym emulatorze bez wcześniejszego sprawdzenia. Analiza może obejmować obliczenie sumy kontrolnej, identyfikację ciągów tekstowych, ocenę zachowania w odizolowanym środowisku oraz skanowanie aktualnym programem bezpieczeństwa. Warto też sprawdzić, czy plik nie jest innym typem danych jedynie nazwanym rozszerzeniem COM, ponieważ sama nazwa nie zastępuje analizy zawartości.

Postępowanie z odziedziczonym programem DOS

Jeżeli załącznik COM pochodzi ze starego programu używanego w firmie lub w domu, najpierw trzeba ustalić jego przeznaczenie, źródło i wymagane środowisko uruchomieniowe. Pomocne są informacje o nazwie aplikacji, wersji DOS, parametrach startowych oraz plikach, z którymi program współpracował. Należy unikać uruchamiania nieznanego pliku na komputerze zawierającym ważne dane. W przypadku starego oprogramowania problemem może być zarówno złośliwa zawartość, jak i niezgodność z obecnym systemem, brakiem obsługi 16 bitów lub odmiennym sposobem dostępu do urządzeń.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, w tym diagnostyką problemów związanych z podejrzanymi plikami oraz nieprawidłowym działaniem oprogramowania na komputerze użytkownika. Podczas oględzin można oddzielić kwestię bezpieczeństwa załącznika COM od problemu zgodności starego programu z aktualnym systemem. Istotne jest zachowanie oryginalnego pliku do analizy, nieuruchamianie go wielokrotnie oraz przekazanie informacji, skąd został pobrany i jakie objawy wystąpiły po jego użyciu.