zaszyfrowane załączniki z rozszerzeniem EXE — automatycznie blokowane

Zaszyfrowane załączniki z rozszerzeniem EXE są automatycznie blokowane, ponieważ filtry nie mogą zeskanować ich zawartości.

Dlaczego szyfrowanie uniemożliwia kontrolę załącznika EXE

Załącznik z rozszerzeniem EXE jest plikiem wykonywalnym systemu Windows. Po uruchomieniu może rozpocząć pracę jako program, instalator albo skrypt wykorzystujący interpreter zawarty w innym komponencie systemu. Z tego powodu bramki pocztowe i programy ochronne traktują pliki EXE jako zawartość podwyższonego ryzyka, niezależnie od tego, czy plik pochodzi z legalnego programu, czy został dołączony do wiadomości przez osobę znaną odbiorcy. Samo rozszerzenie nie przesądza o złośliwości, ale wskazuje, że zawartość może zostać bezpośrednio wykonana.

Szyfrowanie załącznika dodatkowo ogranicza możliwości automatycznej analizy. Filtr pocztowy może odczytać strukturę wiadomości, nagłówki MIME, nazwę pliku i część metadanych, lecz nie ma dostępu do właściwej treści zamkniętej bez hasła. Nie może więc sprawdzić sygnatury pliku, przeprowadzić analizy antywirusowej ani ocenić zachowania programu w piaskownicy. W przypadku zaszyfrowanego archiwum filtr nie zna również pełnej listy elementów znajdujących się wewnątrz. Jeżeli po rozpakowaniu znajduje się tam EXE, kontrola przed dostarczeniem wiadomości nie może wiarygodnie potwierdzić, że plik jest bezpieczny.

Automatyczna blokada a rzeczywiste działanie poczty

Blokada może zostać wykonana na kilku etapach: przez serwer pocztowy, usługę filtrującą przed dostarczeniem wiadomości, program antywirusowy na komputerze albo aplikację pocztową. Reguła może analizować rozszerzenie widoczne w nazwie, typ MIME, sygnaturę binarną pliku oraz zawartość archiwum. Dzięki temu plik nazwany na przykład dokument.exe może zostać rozpoznany jako wykonywalny nawet wtedy, gdy jego nazwa została zmieniona, ponieważ rzeczywisty typ pliku wynika także z jego struktury. Z kolei szyfrowane archiwum może być blokowane jako nieprześwietlalny kontener, zanim filtr ustali, co znajduje się w środku.

Wiadomość może zostać odrzucona podczas transmisji, przyjęta i usunięta z załącznikiem albo dostarczona z komunikatem o zablokowanej zawartości. Dokładny rezultat zależy od konfiguracji używanego systemu pocztowego. Automatyczna blokada nie oznacza, że filtr odszyfrował plik i wykrył konkretną infekcję. Oznacza zazwyczaj, że zastosowana reguła bezpieczeństwa nie pozwala dostarczyć typu pliku, którego nie można skutecznie sprawdzić. Jest to różnica między wykryciem znanego zagrożenia na podstawie sygnatury a odrzuceniem zawartości z powodu braku możliwości jej analizy.

Bezpieczna weryfikacja pliku otrzymanego pocztą

Jeżeli zaszyfrowany załącznik EXE jest potrzebny do pracy, najpierw należy potwierdzić u nadawcy, jaki plik wysłał, z jakiego źródła pochodzi i dlaczego został zaszyfrowany. Potwierdzenie powinno pochodzić z niezależnego kanału komunikacji, ponieważ sama wiadomość może być wynikiem podszycia się pod nadawcę albo przejęcia jego skrzynki. Hasła do archiwum nie powinno się przesyłać w tej samej wiadomości co załącznika, ale przekazanie hasła nie zastępuje sprawdzenia pliku.

Przed uruchomieniem warto zachować oryginalny plik i sprawdzić jego właściwości, nazwę, rozszerzenie oraz podpis cyfrowy, jeżeli producent programu go zastosował. Podpis cyfrowy pozwala ocenić, czy plik został podpisany przez wskazanego wydawcę i czy jego zawartość nie została zmieniona po podpisaniu, ale brak podpisu nie jest samodzielnym dowodem infekcji. Plik powinien zostać przeskanowany aktualnym programem ochronnym po rozpakowaniu, ponieważ dopiero wtedy narzędzie otrzymuje dostęp do właściwego EXE. Nie należy uruchamiać go tylko po to, aby sprawdzić, co robi. W razie wątpliwości bezpieczniejszym rozwiązaniem jest pobranie instalatora z oficjalnej strony producenta albo użycie innego sposobu przekazania dokumentów, który nie wymaga dostarczania wykonywalnego programu.

Rola serwisu przy problemach z blokowanymi załącznikami

Powtarzająca się blokada może wynikać z prawidłowej reguły bezpieczeństwa, ale czasem towarzyszą jej inne problemy: błędne skojarzenie rozszerzeń, nieprawidłowa obsługa archiwów, uszkodzona aplikacja pocztowa albo obecność programu, który zmienia ustawienia ochrony. Podczas diagnostyki sprawdza się komunikat zwrócony przez pocztę, rodzaj konta, sposób odbierania wiadomości oraz to, czy blokada występuje tylko dla zaszyfrowanych załączników EXE, czy także dla zwykłych plików. Nie powinno się wyłączać ochrony antywirusowej ani filtrów pocztowych wyłącznie po to, aby wymusić dostarczenie pliku.

Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów i komputerów PC, w tym diagnostykę problemów z oprogramowaniem pocztowym, ochroną systemu oraz obsługą załączników. Zakres czynności może obejmować ustalenie miejsca blokady, sprawdzenie konfiguracji programu, ocenę komunikatów bezpieczeństwa i uporządkowanie ustawień systemu bez obchodzenia uzasadnionych zabezpieczeń. Jeżeli plik pochodzi z niepewnego źródła albo jego autentyczności nie można potwierdzić, właściwym wnioskiem diagnostycznym nie jest wymuszenie otwarcia, lecz pozostawienie załącznika zablokowanego i znalezienie wiarygodnego źródła potrzebnego programu.