Опасны ли SCR-файлы: как распознать угрозу и не запустить вредоносную программу

SCR-файл сам по себе — не вирус. Это обычный исполняемый файл, который Windows использует для экранной заставки (screensaver). Но именно эта двойственность делает формат опасным: технически SCR — тот же EXE-файл с другим расширением, и злоумышленники давно используют его, чтобы замаскировать вредоносную программу под «безобидную заставку», документ или изображение. Главный ориентир простой: любой SCR-файл, пришедший по почте, в мессенджере или скачанный с непроверенного сайта, следует считать потенциально опасным, пока вы не убедитесь в обратном.

Что такое SCR-файл на самом деле

Расширение .scr зарегистрировано в Windows как формат экранных заставок. Когда вы настраиваете заставку в параметрах системы, она выбирается именно из SCR-файлов. Но внутри это обычное приложение в формате PE (Portable Executable) — то же самое, что у программ с расширением .exe.

Из этого следуют два важных вывода:

• SCR-файл может содержать любой программный код: как легальную заставку, так и шифровальщик, кейлоггер, майнер или троян.
• Windows запускает SCR двойным щелчком так же, как EXE. Никакого дополнительного предупреждения «вы открываете программу» при этом может не появиться — расширение выглядит непривычно, но система относится к нему как к исполняемому файлу.

Легитимные SCR-файлы обычно лежат в системных папках Windows (например, в C:\Windows\System32) и устанавливаются вместе с программами-заставками. Проблема возникает, когда такой файл приходит «снаружи» — от неизвестного отправителя или с сомнительного ресурса.

Почему злоумышленники выбирают именно SCR

Формат популярен у распространителей вредоносного ПО по нескольким причинам:

• Маскировка под документ. Иконка и поведение файла можно настроить так, что он выглядит как PDF, изображение или архив. В списке файлов расширение может быть скрыто настройками Windows по умолчанию, и жертва видит только «Приказ.pdf.scr» как «Приказ.pdf».
• Обход фильтров. Некоторые почтовые шлюзы и корпоративные фильтры исторически строже относились к EXE, чем к менее распространённым исполняемым расширениям, включая SCR. Хотя современные системы блокируют оба формата, старые или слабо настроенные решения могут пропускать SCR.
• Психологический фактор. Пользователь знает, что «SCR — это заставка», и не воспринимает файл как программу, которую запускает.
• Совместимость. SCR запускается на любой актуальной версии Windows без установки и без прав администратора в большинстве случаев — достаточно, чтобы пользователь открыл файл.

Типичные сценарии доставки: письма с «счетами», «договорами», «судебными повестками» и «фото», ссылки в мессенджерах, архивы, скачанные с сайтов, имитирующих официальные ресурсы, а также вложения в фишинговых рассылках, выдающих себя за госорганы, банки или работодателя.

Чем именно грозит запуск вредоносного SCR

Последствия зависят от того, какую нагрузку несут файл. На практике встречаются такие варианты:

• Шифровальщик (ransomware). Файлы на диске и сетевых папках шифруются, злоумышленники требуют выкуп за восстановление доступа.
• Кража учётных данных. Программа считывает сохранённые пароли браузеров, перехватывает ввод с клавиатуры или подменяет страницы входа в банк.
• Удалённый доступ (RAT). Злоумышленник получает управление компьютером: может копировать файлы, включать камеру, использовать машину для дальнейших атак.
• Скрытый майнинг. Компьютер замедляется, вентиляторы работают на максимуме, растёт расход электроэнергии — ресурсы уходят на добычу криптовалюты для чужой выгоды.
• Загрузчик. Файл сам по себе «пустой», но скачивает и запускает основную вредоносную нагрузку позже — такие угрозы хуже детектируются антивирусами при первом сканировании.

Отдельный риск — распространение по локальной сети: если заражённый компьютер подключён к корпоративной сети или домашней сети с общими папками, вредоносная программа может попытаться добраться и до других устройств.

Как проверить SCR-файл перед запуском

Если файл уже у вас и есть основания его открыть (например, вы действительно устанавливаете заставку из проверенного источника), пройдите несколько шагов проверки.

1. Включите отображение расширений файлов

В проводнике Windows откройте «Вид» (или «Параметры» → «Вид» в зависимости от версии) и включите показ расширений. Это базовая защита от двойных расширений: вы сразу увидите, что «документ.pdf» на самом деле называется «документ.pdf.scr».

2. Проверьте свойства файла

1. Щёлкните по файлу правой кнопкой и откройте «Свойства».
2. На вкладке «Общие» посмотрите размер: заставка обычно весит от нескольких сотен килобайт до единиц мегабайт. «Заставка» на 150 МБ — повод насторожиться.
3. На вкладке «Подробно» или «Цифровые подписи» проверьте, есть ли подпись известного разработчика. Легальные заставки от крупных вендоров обычно подписаны; отсутствие подписи само по себе не доказывает вредоносность, но её наличие у известной компании — плюс.

3. Просканируйте файл антивирусом и онлайн-сервисами

Прогоните файл установленным антивирусом с обновлёнными базами. Дополнительно можно загрузить файл в онлайн-сервисы многосканерной проверки (например, сервисы, которые прогоняют файл через десятки антивирусных движков). Важные оговорки:

• Загружайте файл только если он не содержит конфиденциальной информации — файл уходит на сторонний сервер.
• Чистый результат всех сканеров не даёт стопроцентной гарантии: новые угрозы и загрузчики могут не детектироваться ни одним движком.
• Если хотя бы несколько движков помечают файл как подозрительный, запускать его не стоит.

4. Оцените источник

Задайте себе три вопроса: ожидали ли вы этот файл, знаете ли отправителя лично и логично ли, чтобы заставка пришла именно таким способом. «Бухгалтерия прислала скриншот отчёта в формате SCR» — классический признак фишинга: скриншоты пересылают как изображения, а не как исполняемые файлы.

Сравнение: легитимный и подозрительный SCR-файл

Признак	Обычно безопасный SCR	Подозрительный SCR
Источник	Поставляется с программой или ОС, скачан с сайта разработчика	Пришёл по почте, в мессенджере, с файлопомойки
Имя файла	Понятное название заставки	Двойное расширение, имя имитирует документ или фото
Цифровая подпись	Часто есть, подписана известной компанией	Отсутствует или недействительна
Размер	Сопоставим с типичными заставками	Аномально большой или подозрительно малый для заявленного содержимого
Контекст	Вы сами искали и устанавливали заставку	Файл «навязан»: срочность, угрозы, неожиданное вложение

Таблица даёт ориентиры, а не гарантии: умелый злоумышленник может имитировать и подпись в имени файла, и правдоподобный размер. Поэтому решение принимается по совокупности признаков, а главный из них — источник.

Что делать, если вы уже запустили подозрительный SCR

Скорость действий здесь важнее идеальности. Порядок примерно такой:

1. Отключите компьютер от сети (выньте кабель, выключите Wi-Fi), если заметили подозрительную активность: шифрование файлов, самопроизвольные окна, резкое замедление. Это снижает риск распространения по сети и передачи данных наружу.
2. Не платите выкуп и не вводите пароли, если открылись подозрительные страницы — это не решает проблему и поощряет преступников.
3. Проверьте систему антивирусом с актуальными базами, в идеале — загрузочной утилитой с другого носителя, которая проверяет систему до старта Windows.
4. Смените пароли от важных учётных записей с другого, заведомо чистого устройства: почта, банк, рабочие сервисы. Начните с тех, где пароль был сохранён в браузере.
5. Проверьте резервные копии на предмет целостности и отключите заражённые устройства от сетевых хранилищ, чтобы шифровальщик не добрался до бэкапов.
6. Обратитесь к специалистам, если это рабочий компьютер или есть признаки шифрования данных: ИТ-отдел компании или профильная служба восстановления данных.

Если после запуска ничего заметного не произошло, это не значит, что всё в порядке: современные угрозы часто ведут себя скрытно неделями. Проверка антивирусом и смена паролей остаются обязательными.

Как снизить риск заранее

• Держите включённым отображение расширений файлов — это одна из самых дешёвых и эффективных мер против двойных расширений.
• Используйте антивирус с актуальными базами и включённой защитой в реальном времени; встроенный Защитник Windows при регулярных обновлениях закрывает значительную часть типовых угроз.
• Настройте регулярное резервное копирование по правилу 3-2-1: три копии данных, на двух разных типах носителей, одна — вне компьютера или офлайн. Это единственная надёжная страховка от шифровальщиков.
• Не открывайте вложения из неожиданных писем, даже от знакомых адресов: почтовые ящики взламывают, и рассылки идут от их имени. При сомнении уточните у отправителя другим каналом.
• Держите Windows и браузеры обновлёнными: часть вредоносных SCR использует уязвимости в документах и скриптах, для которых уже есть исправления.
• В корпоративной среде настройте почтовый шлюз на блокировку исполняемых вложений, включая SCR, и обучите сотрудников правилам работы с вложениями.

Типичные ошибки при работе с SCR-файлами

• «Это же просто заставка, не вирус». Формат не определяет содержимое: внутри может быть любая программа. Безопасность определяется источником и проверкой, а не расширением.
• Проверка только по названию файла. Имя и иконка легко подделываются; ориентируйтесь на полное имя с расширением, подпись и источник.
• Отключение антивируса «чтобы файл запустился». Если программа требует отключить защиту, это само по себе тревожный сигнал, а не аргумент в пользу файла.
• Хранение единственной копии важных данных на том же диске. При атаке шифровальщика теряется всё, включая бэкап, если он подключён к системе постоянно.
• Пауза после запуска подозрительного файла. Каждый час простоя увеличивает объём зашифрованных или украденных данных и шансы на распространение по сети.

Сценарии: как действовать в разных ситуациях

• Пришло письмо с «договором.scr» от незнакомого адреса. Не открывайте. Удалите письмо, при возможности пометьте как спам. Договоры не рассылают в формате заставок.
• Знакомый прислал «фото.scr» в мессенджере. Напишите ему другим способом и уточните, отправлял ли он файл. Скорее всего, его аккаунт взломан или компьютер заражён.
• Вы скачиваете заставку с сайта разработчика. Проверьте, что адрес — официальный, посмотрите цифровую подпись и просканируйте файл. Риск в этом сценарии минимальный, но проверка занимает минуту.
• Файл уже запущен, файлы начали переименовываться. Немедленно отключите сеть, выключите компьютер и обратитесь к специалистам по восстановлению данных — не пытайтесь «дочистить» систему самостоятельно.
• Антивирус заблокировал SCR при скачивании. Доверьтесь блокировке: попытки обойти защиту ради «проверки» — самый короткий путь к заражению.

Что важно запомнить

SCR-файл — это исполняемая программа, а не картинка и не документ, поэтому вопрос «опасен ли он» сводится к вопросу «кто и зачем его вам передал». Файлы заставок, установленные вместе с системой или скачанные с официального сайта разработчика, — нормальная часть Windows. Всё, что приходит неожиданно, по почте и в мессенджерах, особенно под видом документов и фотографий, — типичный вектор атаки, и лучший ответ на него — не открывать файл вообще.

Три практических шага, которые дают основной эффект: включите показ расширений файлов, настройте регулярные резервные копии вне рабочего диска и возьмите за правило проверять источник любого исполняемого вложения перед запуском. Если подозрительный файл уже запущен — отключите сеть, просканируйте систему, смените пароли с чистого устройства и при шифровании данных обращайтесь к специалистам, а не к «сервисам расшифровки» из первых строк поиска.

Материал носит информационный характер и не заменяет диагностику специалиста. При заражении рабочего компьютера, шифровании данных или утечке конфиденциальной информации обращайтесь в ИТ-службу организации или к профильным специалистам по информационной безопасности, а актуальные рекомендации по конкретной угрозе уточняйте у производителя вашего антивирусного решения.