Как проверить структуру RAR-архива, не запуская файлы внутри него

Скачанный или полученный по почте архив — один из самых частых способов доставки вредоносного кода. Хорошая новость в том, что сам по себе RAR-файл не исполняется: опасность представляют только вложенные файлы после их запуска. Поэтому проверить содержимое архива можно полностью безопасно — достаточно смотреть список файлов, тестировать целостность и сканировать данные на месте, не распаковывая и тем более не открывая ничего внутри.

Главный принцип такой: сначала смотрим и проверяем, потом решаем. Ниже — какие инструменты для этого подходят, что именно они показывают, какие проверки имеет смысл выполнить по порядку и как отличить подозрительный архив от обычного.

Почему нельзя просто открыть архив двойным щелчком

Современные архиваторы (WinRAR, 7-Zip) позволяют «войти» в архив как в папку и запустить файл прямо из окна программы. При этом файл сначала тихо распаковывается во временную папку, а затем выполняется. С точки зрения безопасности это полноценный запуск программы — все предупреждения о том, что «архив лучше не открывать», к такому действию применимы в полной мере.

Отсюда простое правило: просмотр списка файлов — безопасен, запуск файла из архива — нет. Даже если файл выглядит как документ PDF или картинка, расширение легко подделать, а внутри может находиться исполняемый код с двойным расширением вроде отчет.pdf.exe.

Что можно узнать об архиве без распаковки

Без извлечения данных доступно больше информации, чем кажется:

• полный список файлов и папок внутри архива с размерами;
• реальные расширения всех вложенных файлов — главный признак того, чем архив является на самом деле;
• даты создания и изменения файлов, атрибуты;
• наличие комментариев архива, которые иногда используют для социальной инженерии;
• целостность структуры: повреждён ли архив, хватает ли томов многотомного набора;
• признаки шифрования имён файлов и наличие пароля.

Этого обычно достаточно, чтобы принять решение: удалять архив, отправлять на проверку специалисту или работать с ним дальше.

Порядок безопасной проверки

Проверку удобно выполнять последовательно — от самого дешёвого действия к более затратному.

1. Просмотр списка файлов. Откройте архив в архиваторе, но не запускайте ничего из него. Изучите расширения: исполняемые форматы (.exe, .bat, .cmd, .scr, .vbs, .js, .ps1, .msi, .lnk) в неожиданном контексте — повод насторожиться.
2. Тест целостности без извлечения. В WinRAR это кнопка «Проверить» (Test), в 7-Zip — команда тестирования из меню. Архиватор читает все данные и сверяет контрольные суммы, но не создаёт файлов на диске.
3. Антивирусная проверка на месте. Большинство антивирусов умеют сканировать содержимое архивов без их распаковки пользователем: пункт «Проверить» в контекстном меню файла.
4. Онлайн-анализ при сомнениях. Если локальный антивирус молчит, а подозрения остались, файл можно загрузить в сервисы многоядерного анализа (например, VirusTotal), где его прогоняют через десятки движков. Учитывайте ограничение по размеру файла и то, что конфиденциальный архив публиковать таким образом не стоит.
5. Решение. Только после чистых результатов можно распаковывать — и желательно в отдельную пустую папку, а не поверх рабочих документов.

Инструменты и что именно они дают

Инструмент	Что показывает	Ограничения
WinRAR / 7-Zip (просмотр)	Список файлов, размеры, даты, расширения, комментарии	Не анализирует содержимое файлов, только метаданные
Тест архива (Test)	Целостность структуры, полноту многотомных наборов, ошибки CRC	Не выявляет вредоносный код в исправном архиве
Локальный антивирус	Известные угрозы внутри архива без ручной распаковки	Пропускает новые и специально упакованные образцы
VirusTotal и аналоги	Мнение десятков антивирусных движков сразу	Лимиты размера, публикация файла третьим лицам, эвристики дают ложные срабатывания
Командная строка (rar/unrar t, 7z l)	Те же проверки в автоматизированном виде, удобно для сценариев	Требует установленной консольной версии архиватора

Как читать список файлов: на что смотреть

Сама по себе информация из списка уже позволяет многое понять.

• Расширения. Исполняемый файл среди документов — классический признак троянца. Особое внимание к двойным расширениям и к файлам, у которых расширение вообще отсутствует.
• Имена файлов. Попытки выдать себя за системные процессы, документы с заманчивыми названиями («штраф», «договор_подписать», «скан_паспорта») — типичный приём фишинга.
• Структура. Один exe-файл вместо обещанного набора документов почти всегда означает, что содержимое не соответствует описанию отправителя.
• Размеры. Файл «видео» размером в пару мегабайт либо повреждён, либо является чем-то другим.
• Комментарий архива. Инструкции вида «отключите антивирус и запустите setup.exe» — однозначный сигнал удалить архив.

Проверка целостности: зачем она нужна отдельно

Тестирование без извлечения отвечает на другой вопрос, чем антивирус: не повреждены ли данные. Это важно в нескольких ситуациях:

• архив скачан из сети и оборвался на середине — тест покажет ошибку CRC;
• многотомный набор (part1, part2, …) — тест подтвердит, что все части на месте и соответствуют друг другу;
• архив долго хранился на ненадёжном носителе — тест покажет, читаются ли данные до восстановления.

Важно понимать: исправный архив не означает безопасный. Целостность и отсутствие угрозы — независимые проверки, и обе стоит выполнить.

Особые случаи

Зашифрованные имена файлов

Если автор архива включил шифрование имён, список файлов без пароля недоступен — вы увидите только сам факт шифрования. В этом случае безопасная предварительная оценка невозможна: решение придётся принимать на основе источника архива. Пароль, переданный в том же письме, никак не защищает от вредоноса — он лишь мешает почтовым фильтрам заглянуть внутрь, чем активно пользуются злоумышленники.

SFX-архивы (самораспаковывающиеся exe)

Файл с расширением .exe, который «сам распакуется при запуске», — это исполняемая программа, а не архив в привычном смысле. Запускать его ради просмотра нельзя. Вместо этого откройте такой файл в 7-Zip как обычный архив: программа покажет вложенные данные, если это стандартный SFX-контейнер. Если внутри видны неожиданные исполняемые файлы или скрипты автозапуска — архив лучше удалить.

Многотомные архивы

Проверяйте весь набор целиком: тест одного тома малоинформативен. Отсутствие даже одной части делает извлечение невозможным, а тест это сразу покажет.

Типичные ошибки при проверке

• Запуск файла «просто посмотреть». Двойной щелчок по файлу внутри архива — это запуск. Даже если кажется, что это картинка или текстовый документ.
• Доверие к одному антивирусу. Чистый вердикт одного движка не гарантирует безопасность новых угроз; при сомнениях используйте сервисы с несколькими движками.
• Распаковка в рабочую папку. Даже при чистой проверке лучше извлекать в отдельную директорию: так проще контролировать, что именно появилось на диске.
• Игнорирование несоответствия ожиданиям. Если ждали три документа, а внутри установщик — архив не соответствует заявленному, и это само по себе достаточная причина отказаться от него.
• Отключение защиты по инструкции из письма. Просьба выключить антивирус перед открытием вложения — всегда признак атаки, независимо от легенды отправителя.

Если условия такие — действуйте так

• Архив от известного человека, но с неожиданным вложением. Проверьте список и прогоните через антивирус; при сомнениях уточните у отправителя по другому каналу связи, действительно ли он отправлял файл.
• Архив из интернета с программой. Предпочтительнее скачать программу напрямую с сайта разработчика, чем использовать пересобранные архивы со сторонних ресурсов.
• Почтовое вложение с паролем в тексте письма. Стандартная схема обхода фильтров. Не открывайте без отдельного подтверждения от отправителя.
• Архив нужен срочно, а проверки вызывают сомнения. Распакуйте его на изолированной машине или в виртуальной среде, не имеющей доступа к рабочим данным.
• Тест показывает ошибки CRC. Повторите скачивание или запросите архив заново; попытки «починить» повреждённый неизвестный архив редко оправданы.

Краткий чек-лист перед работой с архивом

1. Источник понятен и ожидаем? Если нет — уточните у отправителя.
2. Список файлов просмотрен, расширения соответствуют ожиданиям?
3. Нет исполняемых файлов там, где их быть не должно?
4. Тест целостности пройден без ошибок?
5. Антивирусная проверка выполнена, при сомнениях — многоядерный онлайн-анализ?
6. Распаковка планируется в отдельную пустую папку?

Что делать дальше

Если все проверки пройдены и содержимое соответствует ожиданиям — архив можно спокойно распаковывать и использовать. Если хотя бы один пункт вызывает вопросы, разумнее потратить время на дополнительную проверку или получить файл из надёжного источника заново: восстановление системы после заражения всегда дороже, чем повторное скачивание архива.

Материал носит информационный характер и не заменяет консультацию специалиста по информационной безопасности. При работе с архивами из недоверенных источников, особенно в корпоративной среде, решения о запуске файлов принимайте с участием ответственного за ИБ сотрудника.