Чем опасны файлы с двойным расширением и как их распознать

Файлы с двойным расширением — это имена, в которых после точки указано два расширения подряд, например document.pdf.exe или photo.jpg.scr. На первый взгляд такие имена могут выглядеть безобидно, но они часто используются злоумышленниками для маскировки вредоносного кода под обычный документ или изображение. Ниже объяснено, почему это опасно, как работает механизм обмана и что можно сделать, чтобы снизить риск.

Как работает двойное расширение

В операционных системах Windows расширение файла определяет, какая программа будет использоваться для его открытия. Система читает расширение от последней точки в имени файла. Если после точки указано несколько расширений, учитывается только последнее. Например, в имени report.docx.exe системой будет восприниматься расширение .exe, то есть файл будет считаться исполняемым, несмотря на наличие .docx в начале имени.

Злоумышленники exploiting this behaviour создают файлы, где первое расширение выглядит как безопасный тип (документ, изображение, архив), а второе — как исполняемый скрипт или программу. При открытии такого файла пользователь может увидеть знакомую иконку (например, значок PDF) и предположить, что перед ним безопасный документ, тогда как на самом деле запустится вредоносный код.

Почему это опасно

Основные риски связаны с социальной инженерией и обходом базовых защит:

• Маскировка под доверенный тип файла увеличивает вероятность того, что пользователь откроет файл без подозрений.
• Многие антивирусные решения сканируют файлы по их реальному расширению, но если вредоносный код упакован в легитимный документ (например, в PDF с встроенным JavaScript), обнаружение может быть затруднено.
• В корпоративной среде такие файлы могут обходить фильтры шлюзов безопасности, которые проверяют только первое расширение или полагаются на репутацию домена отправителя.
• После запуска вредоносного кода может произойти кража данных, установка backdoor, шифрование файлов (ransomware) или использование ресурсов устройства для ботнета.

Как распознать файлы с двойным расширением

На практике распознать такие файлы можно, если включить отображение полных имён и расширений в проводнике. Ниже перечислены признаки, которые стоит проверять:

• Имя файла содержит более одной точки перед расширением (например, file.txt.vbs).
• Иконка файла соответствует первому расширению (PDF, JPG), но при наведении курсора или в свойствах видно, что реальное расширение другое.
• Файл получен из ненадёжного источника (вложение в письме от неизвестного отправителя, ссылка на подозрительный сайт, файл из P2P-сети).
• При попытке открыть файл система предлагает выбрать программу, несмотря на то, что иконка указывает на определённый тип (например, предлагает открыть .jpg как исполняемый файл).

Что делать при обнаружении подозрительного файла

Если вы встретили файл с двойным расширением или иным образом вызывающий сомнения, следуйте этим шагам:

1. Не открывайте файл сразу. Сохраните его в отдельную папку для дальнейшего анализа.
2. Проверьте полное имя файла: включите отображение расширений в проводнике (Вид → Показать/скрыть → Расширения имён файлов).
3. Посмотрите свойства файла (правый клик → Свойства). Вкладка «Подробно» покажет реальное расширение и тип содержимого.
4. Запустите сканирование файла обновлённым антивирусом или онлайн-сканером (например, VirusTotal). Не полагайтесь только на локальное решение.
5. Если антивирус обнаружил угрозу — удалите файл согласно рекомендациям программы.
6. Если файл кажется чистым, но вы всё ещё не уверены в его источнике, лучше удалить его или запросить у отправителя подтверждение через другой канал связи.

Типичные ошибки, которые увеличивают риск

Даже опытные пользователи иногда попадаются на уловки с двойным расширением из-за следующих привычек:

• Отключён показ расширений имён файлов в проводнике (по умолчанию в некоторых версиях Windows отображается только имя без последнего расширения).
• Доверие к иконке файла без проверки его свойств.
• Открытие вложений из писем, помеченных как «важные» или от якобы известных контрагентов, без дополнительной проверки.
• Использование устаревших версий антивирусного ПО, которые не распознают новые способы обфускации кода.
• Запуск файлов из временных папок браузера или загрузок без предварительной проверки.

Как снизить вероятность заражения через такие файлы

Профилактические меры помогают не только обнаружить, но и предотвратить попадание опасных файлов в систему:

• Всегда включайте отображение полных имён и расширений в проводнике.
• Используйте почтовые фильтры, которые блокируют вложения с опасными расширениями (.exe, .scr, .bat, .js, .vbs и т.д.) независимо от того, какое расширение стоит перед ними.
• Регулярно обновляйте антивирусное ПО и операционную систему — многие обновления включают улучшения эвристического анализа и обнаружения обфусцированного кода.
• Обучайте сотрудников и членов семьи базовым правилам кибергигиены: не открывать неожиданные вложения, проверять отправителя через альтернативный канал, использовать песочницу или виртуальную машину для тестирования сомнительных файлов.
• При необходимости применяйте политики ограничения запуска скриптов и исполняемых файлов из пользовательских папок (например, через AppLocker или правила групповой политики).

Практический следующий шаг

Самое простое и эффективное действие, которое вы можете выполнить прямо сейчас — проверить настройки проводника на своём компьютере и убедиться, что отображаются полные имена файлов с расширениями. После этого периодически просматривайте загруженные файлы и вложения почты, применяя перечисленные выше признаки и шаги проверки. Это снизит вероятность случайного запуска маскированного вредоносного кода без необходимости приобретать дополнительные инструменты.