załączniki w archiwum

Załączniki w archiwum mogą ukrywać przed filtrami szkodliwą zawartość spakowanego pliku.

Załączniki w archiwum – czym jest ta forma pliku

Załączniki w archiwum to pliki umieszczone wewnątrz jednego pakietu, najczęściej przygotowanego w formacie ZIP, 7Z, RAR albo podobnym. Zamiast przesyłać kilka dokumentów osobno, można połączyć je w jeden plik, który łatwiej dołączyć do wiadomości, pobrać lub przechować. W archiwum mogą znajdować się dokumenty tekstowe, arkusze, zdjęcia, instalatory, skrypty, skróty internetowe oraz inne dane. Samo spakowanie nie oznacza, że zawartość jest bezpieczna. Archiwum pełni przede wszystkim funkcję opakowania i może zmieniać sposób, w jaki załącznik jest oceniany przez program pocztowy, filtr antyspamowy lub ochronę systemu.

Problem pojawia się wtedy, gdy użytkownik widzi wyłącznie nazwę archiwum, a nie rozpoznaje wszystkich elementów znajdujących się w środku. Wiadomość może wyglądać zwyczajnie, natomiast po rozpakowaniu ujawnia się plik wykonywalny albo dokument zawierający aktywną zawartość. Z tego powodu załączniki w archiwum wymagają podobnej ostrożności jak bezpośrednio przesłane pliki, a czasem nawet większej. Znaczenie ma nie tylko rozszerzenie paczki, lecz także pochodzenie wiadomości, oczekiwanie na konkretny dokument, nazwa pliku wewnętrznego oraz zachowanie systemu po otwarciu.

Załączniki w archiwum a filtry bezpieczeństwa i sposób wykrywania zagrożeń

Filtry pocztowe oraz programy ochronne sprawdzają załączniki na podstawie wielu sygnałów. Analizowana może być nazwa pliku, typ danych, struktura archiwum, obecność znanych wzorców oraz zachowanie zawartości podczas rozpakowywania. Nie każdy filtr otwiera jednak każdą paczkę w taki sam sposób. Część systemów ogranicza głębokość analizy, pomija zaszyfrowane archiwa albo nie odczytuje zawartości zabezpieczonej hasłem. W takiej sytuacji ocena może dotyczyć wyłącznie opakowania, bez pełnego wglądu w pliki umieszczone w środku.

Archiwizacja może również zmienić rozszerzenie widoczne dla odbiorcy. Plik PDF, dokument biurowy lub program nie jest wtedy prezentowany jako samodzielny załącznik, lecz jako element paczki. Bywa to wykorzystywane do obchodzenia prostych reguł, które blokują określone typy plików przesyłanych bezpośrednio. Nie oznacza to, że każde archiwum jest próbą ataku. Archiwa są powszechnie używane do legalnego przekazywania większej liczby plików, kopii zapasowych i materiałów projektowych. Wymagają jednak rozpakowania oraz sprawdzenia zawartości przed uruchomieniem.

Ważnym przypadkiem jest archiwum szyfrowane hasłem podanym w tej samej wiadomości albo w osobnej wiadomości wysłanej niemal natychmiast. Hasło może uniemożliwić automatyczną kontrolę zawartości. Podobne znaczenie mają archiwa wielowarstwowe, w których jedna paczka zawiera kolejną. Dodatkowego namysłu wymagają nazwy sugerujące fakturę, potwierdzenie przelewu, dokument kadrowy, przesyłkę lub wezwanie do zapłaty, jeżeli nadawca i kontekst nie są znane.

Załączniki w archiwum – typowe problemy po rozpakowaniu

Jednym z częstszych problemów jest ukrywanie prawdziwego typu pliku za pomocą kilku rozszerzeń, nietypowych nazw lub znaków przypominających spację. Użytkownik może uznać, że otwiera dokument, podczas gdy system próbuje uruchomić program. Ryzyko rośnie także wtedy, gdy włączone jest wyświetlanie rozszerzeń tylko dla znanych typów. Wtedy pełna nazwa pliku może nie być od razu widoczna, a ikona dokumentu może sugerować coś innego niż rzeczywisty format.

Inna sytuacja dotyczy dokumentów zawierających makra, odnośniki, skrypty lub elementy aktywne. Samo otwarcie pliku nie zawsze powoduje problem, ale kliknięcie przycisku „włącz zawartość”, „zezwól na edycję” albo podobnego komunikatu może uruchomić dodatkowe działania. Niekiedy zagrożenie wykorzystuje lukę w nieaktualnym programie do obsługi dokumentów, przeglądarce archiwów lub systemie operacyjnym. Dlatego nie należy traktować komunikatu o błędzie jako dowodu, że plik jest pusty albo uszkodzony w nieszkodliwy sposób.

Załączniki w archiwum mogą też powodować trudności techniczne bez związku ze szkodliwym działaniem. Archiwum może być niekompletne, uszkodzone, podzielone na kilka części albo zapisane w formacie, którego nie obsługuje używane narzędzie. Czasem nazwy plików zawierają niedozwolone znaki, a wypakowana ścieżka jest zbyt długa. Spotykane są również paczki z wieloma poziomami podfolderów, bardzo dużą liczbą małych plików lub zawartością zajmującą znacznie więcej miejsca po rozpakowaniu niż przed nim. W takim przypadku próba otwarcia może zakończyć się zawieszeniem programu albo brakiem wolnej przestrzeni.

Niepokój powinny wzbudzić nagłe komunikaty ochrony, zmiana strony startowej przeglądarki, pojawienie się nowych ikon, samoczynne uruchamianie okien, spowolnienie pracy, nietypowe obciążenie dysku lub żądanie ponownego podania danych logowania. Nie trzeba wtedy wielokrotnie otwierać archiwum w celu sprawdzenia, co się wydarzyło. Każde kolejne uruchomienie może utrudnić późniejszą ocenę sytuacji.

Załączniki w archiwum – praktyczne wskazówki przed otwarciem

Przed pobraniem pliku warto ocenić, czy wiadomość była oczekiwana i czy nadawca rzeczywiście mógł ją wysłać. Bezpieczniej skontaktować się z nadawcą innym kanałem, korzystając z wcześniej znanego numeru lub adresu, niż odpowiadać bezpośrednio na podejrzaną wiadomość. Sam wygląd adresu nadawcy nie wystarcza, ponieważ nazwa wyświetlana w skrzynce może być łatwa do podrobienia. Podejrzane są także prośby o pilne rozpakowanie, przekazanie hasła, wyłączenie ochrony albo wykonanie instrukcji zawartych w dokumencie.

Archiwum najlepiej zapisać w miejscu, w którym można je później łatwo odszukać, a następnie przeskanować aktualnym programem ochronnym. Do rozpakowania należy używać znanego, aktualnego narzędzia. Po otwarciu paczki trzeba przeczytać pełne nazwy plików i sprawdzić ich rozszerzenia, zamiast kierować się samą ikoną. Dokument można najpierw otworzyć w trybie chronionym lub podglądu, jeśli używany program taką funkcję udostępnia. Nie należy uruchamiać plików wykonywalnych, skryptów ani nieznanych instalatorów tylko dlatego, że znajdowały się w paczce opisanej jako dokumenty.

Hasło do archiwum nie jest potwierdzeniem bezpieczeństwa. Szyfrowanie chroni przed dostępem osób postronnych, ale nie usuwa szkodliwych funkcji z pliku. Jeżeli paczka pochodzi z nieznanego źródła, nie powinno się wpisywać do niej haseł używanych w innych usługach ani kopiować zawartości do folderu współdzielonego z innymi użytkownikami. Warto też sprawdzić, czy system ma aktualne poprawki, a kopie ważnych danych są przechowywane w sposób pozwalający odzyskać wcześniejszą wersję.

Gdy archiwum jest potrzebne do pracy, można poprosić nadawcę o przesłanie plików w innym formacie albo przez ustalony kanał wymiany. W przypadku dokumentów biurowych korzystne jest otrzymanie wersji bez aktywnych elementów, jeżeli nie są one niezbędne. Przy przekazywaniu własnych plików warto opisać zawartość paczki, stosować jednoznaczne nazwy i nie umieszczać w niej zbędnych programów. Ułatwia to odbiorcy rozpoznanie, czy zawartość odpowiada oczekiwaniom.

Załączniki w archiwum – kiedy potrzebna jest pomoc serwisu

Do serwisu warto zgłosić się po przypadkowym uruchomieniu podejrzanego pliku, zwłaszcza gdy pojawił się nietypowy komunikat, nastąpiło przekierowanie przeglądarki, zniknęły dokumenty albo komputer zaczął działać inaczej niż wcześniej. Ostrożność jest wskazana także wtedy, gdy archiwum nie chce się rozpakować, program zgłasza błąd, pliki znikają po wypakowaniu lub system prosi o wyłączenie ochrony. W takiej sytuacji lepiej przerwać pracę, odłączyć nośniki z kopiami danych i zapisać informacje o nazwie pliku oraz treści komunikatów.

Podczas zgłoszenia przydatne są: wiadomość źródłowa, oryginalne archiwum, data pobrania, nazwa używanego programu oraz opis czynności wykonanych po otwarciu. Nie powinno się samodzielnie usuwać wszystkich śladów ani wielokrotnie uruchamiać pliku w celu odtworzenia problemu. W przypadku laptopa możliwe jest rozpoczęcie od bezpłatnej diagnozy laptopa w Warszawskim Pogotowiu Komputerowym 24/7. Ocena może obejmować sprawdzenie uruchamianych procesów, ustawień systemu, przeglądarki, programów ochronnych oraz dostępności danych, a następnie wskazanie dalszego bezpiecznego postępowania.

Jeżeli załączniki w archiwum doprowadziły do zaszyfrowania dokumentów, utraty dostępu do konta lub nietypowego ruchu w sieci, priorytetem powinno być ograniczenie dalszych zmian. Należy unikać logowania do bankowości i innych ważnych usług z podejrzanego urządzenia do czasu sprawdzenia jego stanu. Hasła najlepiej zmienić z zaufanego urządzenia, a przy tym włączyć dodatkowe zabezpieczenia, jeżeli są dostępne. Dzięki szybkiemu przerwaniu podejrzanych działań i zachowaniu oryginalnego materiału łatwiej ustalić przyczynę problemu oraz dobrać działania naprawcze.