załącznik SCR

Załącznik SCR to plik wygaszacza ekranu Windows, w rzeczywistości zdolny do wykonania dowolnego kodu.

Czym jest załącznik SCR w systemie Windows

Załącznik SCR to plik używany przez system Windows jako wygaszacz ekranu. Rozszerzenie .scr nie oznacza odrębnego, bezpiecznego formatu graficznego. Taki plik jest zwykle programem wykonywalnym zapisanym w formacie Portable Executable, czyli tym samym podstawowym formacie, którego Windows używa między innymi dla plików EXE. Po uruchomieniu plik SCR może więc wykonywać instrukcje procesora, korzystać z bibliotek systemowych, odczytywać i zapisywać pliki oraz nawiązywać połączenia sieciowe, zależnie od przyznanych uprawnień i kodu programu.

System rozpoznaje wygaszacz po rozszerzeniu oraz po jego umieszczeniu w lokalizacji przeznaczonej dla wygaszaczy ekranu. W typowej instalacji pliki wygaszaczy mogą znajdować się w katalogu systemowym Windows, na przykład w C:\Windows\System32 albo C:\Windows\SysWOW64, zależnie od architektury programu i systemu. Samo zapisanie pliku z rozszerzeniem SCR nie nadaje mu jednak żadnych specjalnych właściwości bezpieczeństwa. O tym, co faktycznie zrobi plik, decyduje jego kod wykonywalny.

Wygaszacz uruchamiany przez ustawienia systemu może otrzymywać parametry wiersza poleceń. Windows wykorzystuje między innymi przełącznik /s do uruchomienia pełnoekranowego, /p do podglądu w określonym oknie oraz /c do otwarcia konfiguracji. Konkretne zachowanie zależy od implementacji danego programu, dlatego obecność rozszerzenia SCR nie gwarantuje, że plik rzeczywiście pełni funkcję wygaszacza.

Dlaczego plik SCR bywa niebezpieczny jako załącznik

Załącznik SCR może być używany do dostarczenia złośliwego programu, ponieważ odbiorca może pomylić go z plikiem obrazu, animacją albo zwykłym dodatkiem wizualnym. Dwukrotne kliknięcie pliku w Eksploratorze Windows może doprowadzić do jego uruchomienia, jeżeli system lub zainstalowane oprogramowanie skojarzy rozszerzenie SCR z mechanizmem wykonywania wygaszaczy. Ryzyko jest szczególnie istotne wtedy, gdy plik pochodzi z nieznanego adresu, został przesłany bez oczekiwanej korespondencji albo nazwa wykorzystuje podwójne rozszerzenie, na przykład zdjecie.jpg.scr.

Złośliwy SCR może zawierać kod kradnący dane zapisane lokalnie, instalujący dodatkowe komponenty, modyfikujący ustawienia systemu lub pobierający kolejne pliki z sieci. Nie oznacza to, że każdy plik SCR jest szkodliwy. Oznacza natomiast, że należy traktować go jak program wykonywalny, a nie jak dokument lub obraz. Sama zmiana nazwy na .exe nie jest wiarygodną metodą oceny bezpieczeństwa, ponieważ nie usuwa kodu wykonywalnego ani nie wyjaśnia pochodzenia pliku.

Skuteczność ochrony zależy od aktualności programu antywirusowego, reguł poczty elektronicznej, konfiguracji systemu i tego, czy użytkownik uruchomi plik z uprawnieniami administracyjnymi. Mechanizmy kontroli aplikacji, reputacji plików i skanowania załączników mogą zablokować znane zagrożenia, ale nie stanowią dowodu, że nieznany plik jest bezpieczny. Nowe lub zmodyfikowane próbki mogą nie być jeszcze rozpoznawane przez sygnatury antywirusowe.

Jak bezpiecznie sprawdzić otrzymany plik SCR

Nie należy otwierać podejrzanego załącznika SCR przez dwukrotne kliknięcie ani uruchamiać go z poziomu okna poleceń. W pierwszej kolejności warto sprawdzić pełną nazwę pliku, rozszerzenie, źródło wiadomości i zgodność załącznika z treścią korespondencji. W Eksploratorze Windows można włączyć wyświetlanie rozszerzeń znanych typów plików, aby odróżnić rzeczywiste .scr od nazwy, która tylko wygląda jak dokument lub fotografia. Nie należy także ufać samej ikonie pliku, ponieważ ikona może zostać zmieniona przez program.

Plik powinien zostać przeskanowany aktualnym oprogramowaniem bezpieczeństwa bez jego uruchamiania. Przy analizie technicznej można sprawdzić podpis cyfrowy wydawcy, sumę kontrolną oraz informacje o typie pliku. Brak podpisu nie dowodzi złośliwości, ale podpis wystawiony przez nieznanego lub niepowiązanego wydawcę również nie potwierdza, że załącznik jest oczekiwany. Suma kontrolna, na przykład SHA-256, ma wartość tylko wtedy, gdy można ją porównać z wiarygodnym źródłem. Samodzielne obliczenie sumy nie mówi, czy kod jest bezpieczny.

Jeśli analiza jest konieczna, należy wykonywać ją w odizolowanym środowisku testowym, z ograniczonym dostępem do danych użytkownika i sieci. Nie powinno się przenosić podejrzanego pliku na komputer zawierający ważne dokumenty, zapisane hasła ani kopie zapasowe dostępne z tego samego konta. Po przypadkowym uruchomieniu SCR warto odłączyć komputer od sieci, nie usuwać pochopnie śladów, wykonać skanowanie i sprawdzić procesy uruchamiane razem z systemem. W przypadku komputera firmowego zdarzenie należy przekazać osobie odpowiedzialnej za bezpieczeństwo informatyczne.

Znaczenie SCR podczas diagnostyki laptopa i komputera

Problemy z plikami SCR mogą wynikać zarówno z infekcji, jak i z uszkodzenia skojarzeń plików, błędów profilu użytkownika albo nieprawidłowo działającego programu wygaszacza. Objawy wymagające diagnostyki obejmują samoczynne uruchamianie nieznanego wygaszacza, pojawianie się procesów po zamknięciu ustawień ekranu, nietypowe połączenia sieciowe, komunikaty zapory oraz zmiany w konfiguracji systemu. Sama obecność pliku SCR w katalogu systemowym nie jest jeszcze dowodem infekcji, ponieważ Windows i legalne programy mogą instalować własne wygaszacze.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a w ramach diagnostyki można ustalić, czy problem z plikiem SCR dotyczy tylko konfiguracji wygaszacza, czy również działania niepożądanego oprogramowania. Rzetelna ocena powinna obejmować sprawdzenie źródła pliku, jego lokalizacji, podpisu, wyników skanowania oraz zachowania systemu po zdarzeniu. W razie podejrzenia infekcji ważne jest także zweryfikowanie autostartu i innych zmian wykonanych przez program, ponieważ samo usunięcie jednego załącznika nie zawsze usuwa wszystkie elementy zagrożenia.