Как найти следы запуска файлов, извлечённых из архива: практический разбор артефактов Windows

Поиск следов запуска файлов из распакованного архива нужен, когда необходимо понять, выполнялся ли конкретный файл после извлечения, каким пользователем это могло быть сделано и какие признаки активности сохранились в системе. Главная сложность заключается в том, что сам факт распаковки ещё не означает запуск: файл мог быть просто извлечён, просмотрен, удалён или действительно выполнен.

Для надёжного вывода обычно анализируют не один источник, а совокупность артефактов Windows: сведения о запуске приложений, историю работы пользователя, файловые метаданные, журналы событий и следы работы архиваторов. Отдельный признак редко даёт полный ответ, но несколько совпадающих источников позволяют восстановить более точную картину.

Почему запуск файла из архива сложно подтвердить

Архив изменяет привычную цепочку работы с файлом. Пока объект находится внутри ZIP, RAR или другого контейнера, операционная система не обязательно воспринимает его как отдельный исполняемый файл. При распаковке появляется новая копия с собственным путём, временем создания и набором последующих действий.

Например, пользователь может:

• скачать архив и не открывать его содержимое;
• распаковать архив и только посмотреть список файлов;
• открыть документ внутри распакованной папки;
• запустить исполняемый файл вручную;
• запустить файл через другой процесс или сценарий.

Для каждого варианта остаются разные следы. Поэтому вопрос «был ли запущен файл из архива» нужно разделять на несколько более точных вопросов:

• существовал ли файл после распаковки;
• когда и куда он был извлечён;
• открывалась ли папка с ним;
• запускался ли сам исполняемый файл;
• какой процесс мог инициировать запуск.

Какие следы могут остаться после распаковки

В Windows нет единого журнала «пользователь запустил файл из архива». Информация распределена между разными механизмами операционной системы и приложений. При анализе обычно рассматривают несколько групп артефактов.

Следы запуска исполняемого файла

Если из архива был запущен EXE-файл, одним из важных источников информации может быть механизм Prefetch. Он используется Windows для оптимизации запуска программ и в ряде конфигураций сохраняет сведения о выполнении приложений.

В таких данных могут присутствовать сведения о том, что определённая программа запускалась, когда это происходило и какие связанные файлы использовались во время загрузки приложения. Однако отсутствие записи не всегда доказывает отсутствие запуска: настройки системы, очистка данных или особенности версии Windows могут влиять на наличие таких следов.

При анализе важно учитывать контекст. Например, файл с именем программы в Prefetch показывает запуск приложения, но сам по себе не всегда отвечает на вопрос, был ли он получен именно из конкретного архива. Для этого нужны дополнительные подтверждения.

Метаданные файловой системы

После распаковки файл получает обычные атрибуты файловой системы. Они помогают понять историю объекта:

• время создания файла;
• время изменения содержимого;
• расположение в файловой системе;
• связь с другими файлами в той же папке.

Эти данные полезны для построения временной линии, но требуют осторожной интерпретации. Например, время создания файла после распаковки не означает автоматически время его запуска. Оно показывает появление объекта в конкретном месте, а не факт выполнения.

Следы работы пользователя с папками

Windows сохраняет ряд сведений о действиях пользователя в Проводнике. К таким источникам относятся артефакты, связанные с просмотром каталогов, недавними объектами и открытием файлов.

Они могут помочь ответить на вопросы:

• открывалась ли папка с распакованными файлами;
• какие каталоги просматривались;
• какие документы или объекты могли использоваться.

Однако просмотр папки не равен запуску программы. Пользователь мог открыть каталог случайно или проверить содержимое без выполнения файлов.

LNK-файлы и ярлыки

Ярлыки Windows могут содержать сведения о связанных объектах: путях, расположении файлов и времени работы с ними. Иногда они появляются после запуска или открытия файла через стандартные механизмы Windows.

Особенно полезны такие артефакты, когда необходимо связать действие пользователя с конкретным расположением файла. Например, они могут показать, что система обращалась к объекту в определённой папке после распаковки архива.

Журналы событий Windows

В зависимости от настроек системы журналы Windows могут содержать информацию о создании процессов, входах пользователей, действиях служб и других событиях.

Ценность журналов зависит от того, какие политики аудита были включены заранее. Если нужный тип событий не записывался, восстановить его только из журналов невозможно.

Отдельные следы архиваторов

Сам архиватор тоже может оставить признаки работы. Разные программы ведут себя по-разному: одни создают временные каталоги, другие сразу записывают распакованные файлы в выбранное место.

При исследовании могут иметь значение:

• история последних открытых архивов в приложении;
• временные каталоги;
• недавние файлы пользователя;
• следы установки или запуска самого архиватора;
• время появления распакованных объектов.

Например, запуск файла непосредственно из окна архиватора может отличаться от сценария, когда пользователь сначала полностью распаковал содержимое в отдельную папку. В первом случае программа-архиватор может сама создавать временные копии для запуска.

Как построить проверку: пошаговый порядок

Чтобы не делать ошибочных выводов, анализ лучше проводить от общего к частному. Сначала нужно определить факты, затем связывать их между собой.

1. Зафиксируйте исходные данные. Определите название архива, предполагаемый файл внутри него, возможные даты события и известные пути хранения.

2. Проверьте наличие распакованных копий. Найдите файлы с похожими именами, сравните размеры, хэши и расположение. Это помогает отличить разные версии одного объекта.

3. Изучите временную линию. Сопоставьте появление архива, распаковку файлов, изменение каталогов и возможные события запуска.

4. Проверьте артефакты выполнения. Найдите признаки запуска программы в источниках, связанных с выполнением приложений.

5. Сопоставьте действия пользователя. Определите, открывались ли соответствующие папки, документы или ярлыки.

6. Оцените достоверность вывода. Разделите подтверждённые факты и предположения.

Такой подход позволяет избежать распространённой ошибки: считать любой след файла доказательством его запуска.

Какие инструменты применяют для анализа

Для исследования артефактов Windows используют специализированные средства цифровой криминалистики и анализа системных данных. Конкретный набор зависит от задачи, версии Windows и того, есть ли доступ к полной копии системы.

Обычно анализ включает:

• извлечение файловой структуры и метаданных;
• анализ реестра пользователя;
• разбор журналов событий;
• исследование артефактов выполнения программ;
• создание временной линии событий.

При серьёзном расследовании предпочтительнее работать не с изменяемой работающей системой, а с сохранённой копией данных. Любые действия на исходном компьютере могут изменить часть следов и повлиять на результаты.

Как отличить распаковку от запуска

Одна из самых важных задач — не перепутать появление файла с его выполнением.

Признак	Что он может показать	Чего он не доказывает сам по себе
Файл появился в папке после распаковки	Объект был извлечён или создан в этом месте	Что файл запускали
Открывалась папка с файлом	Пользователь мог просматривать каталог	Что конкретный файл был выполнен
Есть следы запуска приложения	Программа могла выполняться	Что запуск произошёл именно из конкретного архива без дополнительных данных
Есть запись о работе архиватора	Архив мог открываться или распаковываться	Что все файлы внутри были использованы

Типичные ошибки при поиске следов

Ошибка: считать время создания файла временем запуска

После распаковки файл получает дату создания в новом месте хранения. Это связано с операцией извлечения, а не обязательно с выполнением программы.

Правильный подход — искать независимые признаки запуска и сравнивать их по времени.

Ошибка: делать вывод по одному артефакту

Любой отдельный источник может быть неполным. Например, отсутствие записи не всегда означает отсутствие события, а наличие записи может требовать дополнительной проверки.

Надёжнее использовать несколько подтверждающих признаков: файловую активность, сведения о пользователе, события выполнения и контекст работы системы.

Ошибка: игнорировать способ открытия архива

Распаковка через меню «Извлечь» и запуск файла прямо из архиватора могут оставлять разные следы. Поэтому важно учитывать не только сам файл, но и сценарий взаимодействия с ним.

Когда восстановить факт запуска невозможно

Иногда система просто не содержит достаточного количества данных. Это может произойти, если:

• прошло много времени и старые записи были заменены новыми;
• журналы не велись;
• система была переустановлена или очищена;
• файлы и артефакты были удалены;
• использовались способы запуска, которые оставили минимум стандартных следов.

В таких ситуациях задача меняется: вместо категоричного ответа «запуск был» или «запуска не было» формируют оценку вероятности на основании доступных данных.

Практический подход к анализу подозрительного архива

Если задача связана с проверкой неизвестного архива, важно сначала сохранить исходные данные и не запускать содержимое на рабочем компьютере. Любой запуск может изменить состояние системы и создать новые события.

Перед анализом полезно:

• сохранить копию архива;
• зафиксировать его хэш;
• записывать все действия во время исследования;
• использовать изолированную среду для проверки содержимого;
• отделять факт обнаружения файла от факта его выполнения.

Что делать дальше

Поиск следов запуска файлов из распакованного архива строится не вокруг одного «волшебного» журнала, а вокруг сопоставления разных источников. Сначала нужно установить, что файл действительно появился в системе, затем проверить признаки его использования и только после этого делать вывод о запуске.

Наиболее важный принцип: распакованный файл и запущенный файл — это разные события. Для подтверждения запуска нужны признаки выполнения программы, а для связи с архивом — дополнительные данные о происхождении и пути расположения объекта.

Если необходимо провести проверку конкретного случая, следующий шаг — определить операционную систему, предполагаемый период события, тип файла и доступные данные: рабочую систему, образ диска, журналы или отдельные файлы. От этого зависит, какие источники информации ещё можно использовать.