załącznik VBS

Załącznik VBS to skrypt Visual Basic, jeden z klasycznych nośników złośliwego oprogramowania w poczcie.

Czym jest załącznik VBS

Załącznik VBS to plik tekstowy zawierający skrypt napisany w języku VBScript, którego rozszerzenie pochodzi od nazwy Visual Basic Scripting Edition. VBScript został opracowany przez firmę Microsoft jako język skryptowy dla środowisk Windows i może być uruchamiany między innymi przez Windows Script Host. Samo rozszerzenie .vbs nie oznacza automatycznie obecności wirusa. Taki plik może zawierać legalny skrypt administracyjny, ale w wiadomościach e-mail bywa wykorzystywany jako nośnik poleceń wykonujących działania niepożądane.

W systemie Windows plik VBS jest zwykle kojarzony z interpreterem skryptów, najczęściej wscript.exe albo cscript.exe. Pierwszy z nich uruchamia skrypt w trybie przeznaczonym dla aplikacji okienkowych, a drugi działa w kontekście wiersza poleceń. Oznacza to, że dwukrotne kliknięcie załącznika może uruchomić kod bez potrzeby kompilowania go do osobnego programu wykonywalnego. Skrypt może korzystać z obiektów systemu Windows, na przykład do odczytu plików, tworzenia procesów, komunikacji z systemem plików lub modyfikowania ustawień, zależnie od uprawnień użytkownika i konfiguracji zabezpieczeń.

Dlaczego pliki VBS są wykorzystywane w poczcie

Skrypt VBS jest dla napastnika wygodnym formatem, ponieważ kod pozostaje zwykłym tekstem, a jego wykonanie może zostać przekazane systemowemu interpreterowi. Złośliwy załącznik może próbować pobrać kolejny plik z internetu, uruchomić program zapisany wcześniej na dysku, zmienić konfigurację systemu albo wyświetlić komunikat nakłaniający użytkownika do dalszego działania. W przeszłości skrypty VBS były także używane przez robaki pocztowe do automatycznego rozsyłania kopii na adresy znalezione w książkach adresowych lub plikach użytkownika.

Napastnicy często nadają załącznikowi nazwę sugerującą fakturę, potwierdzenie zamówienia, dokument kadrowy albo skan przesyłki. Ryzyko zwiększa ukrywanie prawdziwego rozszerzenia, na przykład przez użycie nazwy zawierającej wiele spacji, podwójnych rozszerzeń lub znaków podobnych do zwykłego dokumentu. Plik może też zostać umieszczony w archiwum ZIP, aby utrudnić automatyczną analizę bramy pocztowej. Warto pamiętać, że ikona pliku nie jest wiarygodnym dowodem jego typu, ponieważ system Windows pozwala programom i plikom używać mylących ikon.

Wykonanie skryptu i ślady złośliwej aktywności

Po uruchomieniu skrypt VBS może wykonywać instrukcje w kontekście konta, które go otworzyło. Jeżeli użytkownik pracuje bez uprawnień administratora, zakres możliwych zmian jest mniejszy, ale skrypt nadal może odczytywać dane dostępne dla tego konta, tworzyć lub modyfikować pliki oraz uruchamiać procesy. Próba uzyskania wyższych uprawnień może pojawić się w dalszym etapie ataku, lecz nie wynika automatycznie z samego formatu VBS. Znaczenie mają także ustawienia kontroli konta użytkownika, reguły zabezpieczeń, działanie programu antywirusowego i polityki uruchamiania skryptów.

Analiza podejrzanego załącznika powinna obejmować sprawdzenie rzeczywistej nazwy pliku, nadawcy, nagłówków wiadomości, czasu utworzenia oraz treści skryptu, ale nie należy uruchamiać go przez dwukrotne kliknięcie. W kodzie można szukać wywołań obiektów COM, poleceń uruchamiających inne procesy, operacji na plikach, połączeń sieciowych i zakodowanych fragmentów tekstu. Podejrzane są między innymi użycie WScript.Shell, Shell.Application, polecenia powershell.exe, cmd.exe lub narzędzi pobierających dane z sieci. Obecność pojedynczego polecenia nie przesądza jednak o szkodliwości; ocenę trzeba oprzeć na całym przepływie działania skryptu.

Jeżeli załącznik został już otwarty, warto odłączyć komputer od sieci, nie kasować pochopnie plików tymczasowych i zabezpieczyć wiadomość wraz z załącznikiem do dalszej analizy. Przydatne mogą być informacje o uruchomionych procesach, nowych plikach, połączeniach sieciowych i alertach programu ochronnego. W środowisku Windows administrator może ograniczyć ryzyko przez blokowanie niepotrzebnego uruchamiania skryptów, filtrowanie załączników VBS na poczcie oraz stosowanie zasad kontroli aplikacji. Skuteczność tych działań zależy od konkretnej wersji systemu i przyjętej konfiguracji bezpieczeństwa.

Bezpieczne postępowanie w serwisie komputerowym

Załącznik VBS należy traktować jako potencjalnie wykonywalny kod, a nie jak zwykły dokument tekstowy. Nie powinno się otwierać go w celu „sprawdzenia, co zawiera”, odpowiadać na wiadomość z prośbą o włączenie dodatkowych funkcji ani ignorować ostrzeżeń systemu lub programu antywirusowego. Do wstępnej oceny można użyć kopii pliku w odizolowanym środowisku analitycznym, bez dostępu do prywatnych dokumentów i bez niekontrolowanego połączenia z internetem. W przypadku komputera używanego do pracy znaczenie ma również ustalenie, czy po otwarciu skryptu pojawiły się nieznane procesy, zmienione ustawienia przeglądarki, nietypowe komunikaty lub nowe pliki.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, dlatego w razie podejrzenia uruchomienia złośliwego załącznika można zlecić sprawdzenie systemu, procesów startowych, plików oraz działania programu ochronnego. Diagnostyka powinna rozróżnić samą obecność pliku VBS od faktycznego wykonania skryptu, ponieważ nieotwarty załącznik nie wywołuje takich samych skutków jak uruchomiony kod. Po analizie można określić, czy potrzebne jest usunięcie złośliwych elementów, przywrócenie prawidłowych ustawień, aktualizacja zabezpieczeń albo odtworzenie systemu z zaufanego źródła.