Как отличить безопасный архив от подозрительного: признаки, проверки и порядок действий

Архив сам по себе не опасен — это просто контейнер со сжатыми данными. Опасность появляется тогда, когда внутри находится исполняемый файл, макрос, скрипт или когда архив используют как способ обойти почтовые фильтры и антивирусную проверку. Главный принцип простой: безопасность архива определяется его содержимым и источником, а не расширением. Файл с расширением .zip может быть безобидной подборкой фотографий, а может содержать троян, замаскированный под документ.

В этой статье разберём, чем именно опасные архивы отличаются от обычных, какие признаки должны насторожить ещё до двойного щелчка мышью, какие проверки реально работают и в каком порядке их выполнять. Материал рассчитан на обычного пользователя Windows, macOS или Linux, который регулярно получает архивы по почте, в мессенджерах и через файлообменники.

Почему злоумышленники вообще используют архивы

Чтобы отличать опасные контейнеры от нормальных, полезно понимать логику атакующего. Архивы популярны у распространителей вредоносного ПО по нескольким причинам:

• Обход фильтров. Почтовые серверы и корпоративные шлюзы часто блокируют прямую отправку исполняемых файлов (.exe, .scr, .bat). Упакованный в архив такой файл нередко проходит фильтр, особенно если архив защищён паролем — зашифрованное содержимое нельзя просканировать до распаковки.
• Сокрытие настоящего расширения. Внутри архива файл «Отчёт.pdf» может на самом деле называться «Отчёт.pdf.exe». В проводнике Windows расширение скрыто по умолчанию, и пользователь видит только знакомую иконку PDF.
• Обход песочниц. Архивы, защищённые паролем, который указан в тексте письма, часто используются для того, чтобы автоматические системы анализа не смогли распаковать и изучить образец.
• Маскировка под легитимные вложения. Бухгалтерские документы, резюме, счета, договоры — типичные легенды для архивов в фишинговых письмах.

Из этого следует практический вывод: чем больше признаков «защиты» у архива (пароль, необычный формат, просьба отключить антивирус), тем выше вероятность, что это сделано намеренно, чтобы помешать проверке.

Признаки подозрительного архива

Ни один признак по отдельности не доказывает заражение, но совокупность двух-трёх из них — веский повод остановиться и проверить файл отдельно.

Источник и контекст получения

• Архив пришёл неожиданно, даже от знакомого отправителя (его почта могла быть взломана).
• Адрес отправителя внешне похож на настоящий, но отличается одной буквой или доменом.
• В письме создаётся срочность: «счёт на оплату сегодня», «ваш аккаунт будет заблокирован», «откройте немедленно».
• Отправитель просит ввести пароль из письма именно для открытия архива — классическая схема обхода почтовых фильтров.
• Файл скачан с файлообменника или сайта, который требует отключить антивирус для загрузки.

Имя, размер и формат

• Двойное расширение: «договор.docx.exe», «фото.jpg.scr», «резюме.pdf.js».
• Нехарактерный формат для заявленного содержимого: «прайс-лист.rar» от компании, которая обычно присылает Excel.
• Экзотические или устаревшие форматы контейнеров (.ace, .cab, .iso, .img, .7z с паролем) там, где ожидаешь обычный zip.
• Размер не соответствует содержимому: «архив с 200 фото» весит 300 килобайт — значит, фотографий там нет.
• Имя файла содержит случайный набор символов или имитирует системное имя.

Поведение после запуска распаковщика

• Антивирус молчит, но программа-распаковщик предупреждает о нестандартных данных внутри.
• После распаковки появляются файлы с иконками документов, но с исполняемыми расширениями.
• Архив содержит ярлык (.lnk), скрипт (.vbs, .ps1, .bat, .cmd) или файл Office с макросами (.docm, .xlsm), хотя обещали «обычный документ».

Что проверить перед распаковкой: пошаговый порядок

1. Оцените источник. Если архив ожидаемый и отправитель подтверждён — риск минимальный. Если нет — свяжитесь с отправителем по другому каналу (телефон, другой мессенджер) и уточните, отправлял ли он файл.
2. Включите отображение расширений файлов. В Windows: Проводник → Вид → «Расширения имён файлов». Это базовая защита от приёма .exe за документ.
3. Посмотрите свойства файла. Правый клик → Свойства. Обратите внимание на тип файла, цифровую подпись (если есть), дату создания и наличие зоны «Интернет» во вкладке «Общие».
4. Просмотрите содержимое без распаковки. Большинство архиваторов позволяют зайти внутрь контейнера и увидеть список файлов. Ищите исполняемые файлы, скрипты, макросы и странные имена.
5. Проверьте файл онлайн-сканером. Загрузите архив на сервис многодвижковой проверки (например, VirusTotal): файл прогоняется через десятки антивирусов. Помните ограничение: новые и целевые угрозы могут не определяться ни одним движком, поэтому чистый результат — не гарантия безопасности.
6. Распаковывайте в отдельную папку, не запуская ничего. Используйте функцию «Распаковать в папку», а не «Открыть/Запустить» прямо из окна архиватора.
7. Только после всех проверок открывайте нужный файл, и лучше сначала тем приложением, которое не исполняет код: просмотрщик изображений, текстовый редактор, а не сразу офисным пакетом с включёнными макросами.

Что внутри архива действительно опасно

Не всё содержимое контейнера равноценно по риску. Ориентир такой:

Содержимое	Уровень риска	Почему
Фото, видео, аудио, обычные PDF без вложений	Низкий	Форматы просмотра сами по себе не исполняют код; риск связан лишь с уязвимостями устаревших программ
Документы Word/Excel в формате .docx/.xlsx	Низкий–средний	Современные форматы без макросов относительно безопасны, но могут содержать ссылки на фишинговые сайты
Документы .doc/.xls (старые форматы) и .docm/.xlsm	Высокий	Поддерживают макросы — полноценный код, который выполняется при открытии
.exe, .msi, .scr, .com, .pif, .bat, .cmd, .vbs, .js, .ps1	Очень высокий	Исполняемые файлы и скрипты запускают код сразу
Ярлыки .lnk, ISO-образы, установщики	Высокий	Часто используются для запуска вредоносной нагрузки в обход фильтров
Архив внутри архива с паролем	Высокий	Многослойная упаковка — типичный приём сокрытия нагрузки от сканеров

Отдельно про документы с макросами: если после открытия Word или Excel предлагает «Включить содержимое» или «Разрешить выполнение макросов» в файле, который вы не создавали сами, — почти всегда правильный ответ «нет». Легитимные документы от банков, госорганов и контрагентов макросы практически никогда не требуют.

Ложные тревоги и серые зоны

Не каждый подозрительный признак означает атаку. Полезно различать три ситуации.

• Легитимный архив с программой. Разработчики действительно распространяют софт в zip-контейнерах. Здесь ориентир — официальный сайт разработчика и цифровая подпись файла, а не отсутствие исполняемых файлов.
• Срабатывание одного антивируса на VirusTotal. Один-два движка из семидесяти могут давать ложное срабатывание на паковщики и кряки. Десятки срабатываний — почти наверняка реальная угроза. Пограничные случаи лучше перепроверить и не рисковать на рабочем компьютере.
• Пароль на архиве от известного отправителя. Некоторые организации так защищают персональные данные клиентов. Но в этом случае пароль обычно сообщают по отдельному каналу, а не в том же письме, и отправителя легко проверить звонком.

Типичные ошибки пользователей

• Открытие архива прямо из письма. Двойной щелчок по вложению запускает цепочку «скачать → распаковать → открыть» без паузы на проверку. Правильная привычка — сначала сохранить файл, потом смотреть.
• Доверие к иконке. Иконка PDF или Word ничего не гарантирует: она назначается по имени, а имя подделывается элементарно. Смотрите на фактический тип файла в свойствах.
• «У меня есть антивирус, значит можно всё открывать». Антивирус — слой защиты, а не индульгенция. Целевые и свежие угрозы детектируются с задержкой, а социальная инженерия работает мимо сигнатур.
• Распаковка с заменой файлов в системных папках. Если архив просит распаковать себя в C:\Windows или Program Files — это ненормально для пользовательского контента.
• Игнорирование предупреждений SmartScreen и Gatekeeper. Предупреждение «неизвестный издатель» — это сигнал проверить происхождение файла, а не кнопка «всё равно выполнить».

Если подозрение возникло уже после открытия

1. Отключите компьютер от сети (выдерните кабель, выключите Wi-Fi), чтобы ограничить возможную передачу данных.
2. Не вводите пароли и не работайте с банками с этого устройства.
3. Запустите полную проверку установленным антивирусом, затем — лечащей утилитой другого производителя (они дополняют друг друга).
4. Смените пароли от почты и важных аккаунтов с другого, заведомо чистого устройства, начиная с почты, к которой привязаны восстановления.
5. Если появились признаки шифровальщика (файлы переименованы, появился текст с требованием выкупа) — выключайте машину и обращайтесь к специалистам по информационной безопасности; самостоятельные действия могут ухудшить ситуацию.

Простые привычки, которые снимают большую часть риска

• Включённые расширения файлов в проводнике — навсегда.
• Правило «не жду архив — не открываю без проверки отправителя».
• Макросы в офисном пакете отключены по умолчанию.
• Регулярные обновления системы и браузера: многие атаки эксплуатируют старые уязвимости, а не хитрости с архивами.
• Резервные копии важных данных на отдельном носителе или в облаке с историей версий — единственная надёжная страховка от шифровальщиков.

Как принять решение быстро

Сведите проверку к трём вопросам. Первый: ожидал ли я этот файл от этого человека? Второй: что фактически лежит внутри контейнера? Третий: проходит ли файл проверку многодвижковым сканером? Если все три ответа спокойные — открывайте. Если хотя бы один вызывает сомнение — потратьте десять минут на уточнение у отправителя и онлайн-проверку. Цена лишней осторожности — пара минут, цена ошибки — потерянные данные, украденные пароли или заблокированный рабочий компьютер.

Материал носит информационный характер и описывает общие признаки и практики проверки файлов. Он не заменяет работу специалистов по информационной безопасности: при подозрении на заражение корпоративных систем, утечку данных или атаку шифровальщика обращайтесь к профильным специалистам и следуйте политике безопасности вашей организации.