Самораспаковывающиеся архивы: как проверить файл на риски перед запуском

Самораспаковывающийся архив (SFX) — это исполняемый файл с расширением .exe, который содержит сжатые данные и встроенный код распаковки. Именно двойная природа делает его удобным и одновременно опасным: вместе с безобидными документами внутри может находиться вредоносная программа, а сам архив запускается одним кликом без антивирусного сканирования содержимого в момент открытия. Главный принцип проверки прост: никогда не запускайте SFX-файл, пока не убедитесь, откуда он пришёл и что находится внутри. Разберём, как это сделать на практике.

Почему самораспаковывающийся архив — особый случай риска

Обычный архив (.zip, .7z, .rar) — это пассивный контейнер. Чтобы данные внутри выполнились, их нужно извлечь и отдельно запустить. Антивирус и операционная система видят такой файл как архив и могут просканировать содержимое.

SFX-архив устроен иначе. Это полноценное приложение: при запуске выполняется код распаковщика, затем — опционально — команды, заданные автором архива. Создать его может любой пользователь бесплатных архиваторов вроде 7-Zip или WinRAR, указав при упаковке:

• программу или скрипт, которые запустятся автоматически после распаковки;
• тихий режим работы без окон и запросов подтверждения;
• путь распаковки, включая системные папки;
• текст и значок окна, которые сделают файл похожим на установщик известной программы;
• замену стандартной иконки на любую другую — например, на иконку документа PDF или изображения.

Отсюда два ключевых риска. Первый — вредоносная нагрузка внутри архива, которая выполняется сразу после распаковки. Второй — маскировка: злоумышленники регулярно используют SFX-формат для распространения краж паролей, майнеров и программ-вымогателей, потому что жертва видит знакомый «установщик» и запускает его сама. Отдельная проблема — то, что даже легитимный SFX от малоизвестного отправителя сложно отличить от подделки без проверки.

Первичная оценка: источник и контекст файла

Прежде чем разбираться с технической стороной, ответьте на несколько вопросов. В большинстве случаев этого достаточно, чтобы отбраковать подозрительный файл ещё до запуска.

1. Ожидали ли вы этот файл? Если архив пришёл внезапно по почте, в мессенджере или через форму обратной связи — это уже повод для настороженности, независимо от содержания письма.
2. Логично ли, что отправитель прислал именно SFX? Для передачи документов, фотографий и таблиц самораспаковывающийся архив не нужен: обычный zip или ссылка на облачное хранилище удобнее и универсальнее. Выбор формата .exe для «просто файлов» — типичный признак вредоносной рассылки.
3. Совпадает ли имя отправителя с реальным адресом? Подделка адреса отправителя и компрометация переписки — распространённые сценарии. Если есть сомнения, свяжитесь с человеком по другому каналу и уточните, отправлял ли он файл.
4. Соответствует ли название файла ожидаемому содержимому? Двойные расширения вида «договор.pdf.exe» или «фото.jpg.scr» рассчитаны на то, что расширение не отображается в проводнике по умолчанию. Включите показ расширений файлов в настройках системы и посмотрите на полное имя.

Если хотя бы один пункт вызывает сомнение, файл лучше не открывать вовсе. Техническая проверка ниже нужна тогда, когда файл действительно необходим и источник выглядит надёжным.

Проверка до запуска: что можно сделать без открытия архива

Сканирование онлайн-сервисами

Загрузите файл на сервис многоядерного сканирования (например, VirusTotal или аналогичные), где один файл проверяется десятками антивирусных движков одновременно. Это самый быстрый способ выявить известные угрозы. Как интерпретировать результат:

• обнаружения у большинства движков — файл почти наверняка вредоносный, удаляйте;
• одно-два обнаружения у малоизвестных движков — возможна ложная тревога, но проверьте названия детектов: слова вроде Trojan, Stealer, Miner говорят сами за себя;
• ноль обнаружений — не гарантия безопасности. Свежие образцы вредоносов обходят сигнатуры, поэтому чистый отчёт означает лишь отсутствие известных совпадений.

Учитывайте ограничение: загружая файл на публичный сервис, вы делаете его доступным для анализа третьими лицами. Файлы с конфиденциальными данными или коммерческой тайной так проверять не стоит — используйте локальный антивирус с актуальными базами.

Осмотр свойств файла

Откройте свойства файла (правый клик → «Свойства») и изучите:

• Цифровую подпись. У добросовестных разработчиков вкладка «Цифровые подписи» обычно заполнена, а подпись действительна. Её отсутствие само по себе не приговор — многие небольшие компании файлы не подписывают, — но подпись известного бренда при несоответствии издателя заявленной программе — тревожный сигнал.
• Сведения о версии. Поля «Название продукта», «Компания», «Описание» часто оставлены пустыми или заполнены бессмысленным текстом в самодельных SFX.
• Размер. Сравните с ожидаемым: если вам обещали пару документов, а файл весит сотни мегабайт, внутри явно что-то ещё.

Просмотр содержимого без распаковки

Большинство архиваторов позволяют открыть SFX-файл как обычный архив: правый клик → «Открыть с помощью» → выбранный архиватор, либо просто перетащить файл в окно программы. Так вы увидите список файлов внутри, не выполняя код распаковки. Обратите внимание:

• есть ли среди содержимого исполняемые файлы (.exe, .bat, .cmd, .ps1, .vbs, .scr, .js);
• есть ли библиотеки (.dll), которых быть не должно;
• соответствуют ли имена и количество файлов тому, что обещал отправитель;
• нет ли файлов с обманчивыми именами вроде «инструкция.txt.exe».

Если внутри только документы и изображения — риск заметно ниже, но не нулевой: код автозапуска задаётся в настройках самого SFX и в списке файлов не виден. О том, как его проверить, — ниже.

Проверка настроек SFX: скрытые команды автозапуска

Именно параметры сборки отличают опасный архив от безобидного. Их можно посмотреть несколькими способами.

Через интерфейс архиватора. Откройте SFX в WinRAR или 7-Zip и найдите комментарий архива либо модуль SFX-комментарий — там нередко видны строки вида Setup=program.exe, Silent=1, Overwrite=1. Строка Setup указывает, что выполнится после распаковки. Если там прописан скрипт PowerShell, командный файл или загрузка чего-то из сети — файл опасен.

Через просмотр строк в самом файле. Любой текстовый редактор или утилита просмотра бинарных данных покажут внутри SFX читаемые фрагменты: пути, имена файлов, команды. Ищите характерные маркеры:

• powershell -enc или -w hidden — запуск закодированного скрипта в скрытом окне, классический признак вредоносной нагрузки;
• cmd /c с длинными командами удаления, загрузки или изменения реестра;
• упоминания certutil, bitsadmin, rundll32 в сочетании со ссылками — типичные способы доставки полезной нагрузки;
• URL-адреса, на которые файл что-то скачивает или отправляет;
• команды добавления в автозагрузку или создания задач планировщика.

Обнаружение любого из этих маркеров — достаточное основание не запускать файл и передать его специалистам по информационной безопасности, если файл важен для организации.

Безопасный запуск, если проверка пройдена

Когда источник надёжен, антивирусы молчат, а внутри видны только ожидаемые документы, но файл всё же нужен, снизьте остаточный риск:

1. Распакуйте архив вручную, не запуская: откройте его архиватором и извлеките содержимое в отдельную пустую папку. Так код автозапуска не выполнится.
2. Просканируйте распакованные файлы антивирусом повторно — вложенные объекты иногда детектируются лучше, чем контейнер.
3. Открывайте документы в режиме защищённого просмотра, отключите макросы в офисных программах: макровирусы в документах — второй эшелон атаки после SFX-обёртки.
4. Если запуск исполняемого файла всё же обязателен, делайте это на машине, изолированной от основной сети, либо в виртуальной машине со снимком состояния, который можно откатить.

Для организаций разумнее вообще запретить получение исполняемых файлов по почте и мессенджерам на уровне почтового шлюза: легитимные рабочие процессы почти никогда не требуют пересылки .exe вложением.

Признаки того, что файл уже был вредоносным

Если SFX успели запустить, следите за косвенными симптомами компрометации:

• после запуска не появилось ожидаемого окна или оно мелькнуло и исчезло;
• браузер начал работать медленнее, изменилась домашняя страница или появились незнакомые расширения;
• антивирус отключился сам или перестал обновляться;
• появились неизвестные процессы в диспетчере задач, особенно с бессмысленными именами и путями во временных папках;
• коллегам начали приходить сообщения «от вас» с файлами, которые вы не отправляли;
• поступили уведомления о входах в аккаунты, которых вы не совершали.

В этом случае отключите компьютер от сети, смените пароли с другого устройства (начиная с почты — через неё восстанавливается доступ ко всему остальному), проверьте активные сеансы в важных сервисах и обратитесь к специалисту. Самостоятельное «лечение» без понимания того, что именно попало в систему, часто оставляет бэкдоры.

Типичные ошибки при работе с SFX-файлами

• Доверие к иконке и названию. Иконку и текст окна SFX задаёт создатель архива. Внешний вид «официального установщика» ничего не доказывает.
• «Антивирус молчит — значит, чисто». Один движок на компьютере пропускает свежие образцы. Мультидвижковая проверка и анализ источника дают больше, чем одиночное сканирование.
• Запуск ради «просто посмотреть, что внутри». Распаковка и выполнение — разные действия, но при двойном клике происходит второе. Смотреть содержимое нужно через архиватор, а не запуском.
• Игнорирование двойных расширений. Пока в системе скрыты расширения, «отчёт.pdf.exe» выглядит как PDF. Показ расширений должен быть включён всегда.
• Пересылка подозрительного файла коллегам «для проверки». Так одна жертва превращается в цепочку. Лучше описать файл словами и приложить скриншот свойств.

Краткий алгоритм проверки

Шаг	Что делать	Что оценивать
1	Проверить источник и ожидаемость файла	Ждал ли я этот файл? Логичен ли формат .exe? Подтверждён ли отправитель?
2	Посмотреть полное имя и размер	Нет ли двойного расширения, соответствует ли размер содержимому
3	Мультидвижковое сканирование	Количество и названия детектов; помните про конфиденциальность при загрузке
4	Изучить свойства и цифровую подпись	Заполненность сведений, действительность подписи, совпадение издателя
5	Открыть архиватором без запуска	Исполняемые файлы внутри, соответствие списку обещанного
6	Проверить SFX-комментарий и строки файла	Команды Setup, powershell -enc, скрытые запуски, URL
7	Распаковка вручную и повторное сканирование	Чистота извлечённых файлов, отсутствие макросов в документах

Что важно помнить

Самораспаковывающийся архив безопасен ровно настолько, насколько надёжен тот, кто его собрал, — формат не даёт получателю никаких встроенных гарантий. Решение принимают три фактора: подтверждённый источник, результаты проверки содержимого до запуска и отсутствие команд автозапуска в настройках SFX. Если хоть один из них вызывает сомнение, правильное действие одно — не запускать файл и уточнить ситуацию у отправителя независимым каналом. А если файл критичен для работы, распаковывайте его вручную через архиватор: это даёт доступ к содержимому без выполнения чужого кода.

Материал носит информационный характер и не заменяет профессиональную оценку безопасности конкретного файла. При подозрении на заражение корпоративной системы или утечку данных обращайтесь к специалистам по информационной безопасности.