Розширення файлів

Що таке Розширення файлів?

Windows за замовчуванням ховає відомі розширення файлів, тож Invoice_Final.pdf.exe виглядає як PDF. У вправі ви пройдете всю атаку через файл від початку до кінця: підроблене сповіщення про обмін файлами, правдоподібна, але шахрайська сторінка обміну та замаскований виконуваний файл серед справжніх документів. Ви дізнаєтеся, які розширення можуть виконувати код, зокрема .scr, .msi, .cmd, .vbs, .js і .ps1, як побачити справжній тип файлу і чому відхилити попередження антивірусу — одна з найгірших помилок, які можна зробити одним натисканням.

Що ви дізнаєтесь у Розширення файлів

• Розпізнавайте атаки з подвійним розширенням та інші прийоми маніпуляції назвою файлу, якими маскують шкідливі файли
• Пояснюйте, як Windows ховає відомі розширення файлів і як побачити повну назву та справжній тип файлу до відкриття
• Розпізнавайте всі небезпечні виконувані розширення, зокрема .exe, .scr, .msi, .bat, .cmd, .vbs, .js і .ps1
• Правильно реагуйте на сповіщення антивірусу: поміщайте позначені файли на карантин і повідомляйте службу ІТ-безпеки
• Перш ніж відкривати надані вам документи, перевіряйте, чи вони справжні: підтверджуйте їх у відправника й дивіться властивості файлу

Розширення файлів — Кроки навчання

1. Напружений четвер

   Четвер, ранок, а завтра — щоквартальний огляд із Sentinel Analytics, одним із найважливіших клієнтів компанії. Ви досі чекаєте від клієнтської команди кількох матеріалів, щоб завершити презентацію.

2. Файли від клієнта

   Надходить лист, схоже, від Девіда Парка — вашого основного контакту в компанії Sentinel Analytics. Він ділиться посиланням для завантаження матеріалів проєкту за IV квартал, на які ви чекаєте.

3. Відкриття посилання для обміну файлами

   Аліса натискає посилання на CloudDocs, щоб відкрити спільні файли. Відкривається охайна сторінка обміну файлами, на якій чотири файли проєкту готові до завантаження.

4. Завантаження файлів

   На сторінці CloudDocs — чотири файли, якими, судячи з усього, ділиться «Девід Парк». Усе виглядає звично: таблиці, документи й, схоже, рахунок у форматі PDF. Аліса натискає кнопку завантаження, щоб забрати все одразу.

5. Перегляд завантажених файлів

   Завантаження завершується, і Аліса розпаковує архів. Вона відкриває «Файли», щоб переглянути матеріали. Починає вона зі зведення доходів за IV квартал: для завтрашньої презентації воно потрібне терміновіше, ніж решта.

6. Підозрілий файл

   Дані про доходи в порядку. Аліса переходить до решти файлів. Вона помічає файл, який, на її думку, називається «Invoice_Final.pdf», і двічі натискає на нього, щоб відкрити. Але щойно вона запускає файл, антивірус видає термінове сповіщення. Аліса вагається. Завтрашній огляд дуже важливий, а до нього ще кілька годин підготовки. Антивірус увесь тиждень дає хибні спрацювання щоразу, коли на комп'ютері з'являється нове програмне забезпечення. Тож вона вирішує відхилити попередження й розібратися з ним пізніше.

7. Знайома помилка

8. Витік даних

   Через двадцять п'ять хвилин у папці «Вхідні» Аліси з'являється автоматичне сповіщення системи безпеки: хтось увійшов в її обліковий запис Ridgeline з незнайомого місця. Троян із подвійним розширенням викрав її облікові дані за лічені миті до того, як його позначив антивірус.

9. Відстеження атаки

   Тепер Аліса усвідомлює, що «PDF» насправді був виконуваною програмою, замаскованою подвійним розширенням. Файл називався Invoice_Final.pdf.exe : «.pdf» було лише частиною назви, щоб файл скидався на документ, а справжнє розширення «.exe» робило його виконуваним. Вона ще раз переглядає початковий лист і помічає те, що проґавила в поспіху.

10. Підроблена сторінка обміну файлами

    Лист надіслав не справжній Девід Парк. Сторінка обміну файлами CloudDocs теж мала ознаки небезпеки.