فایل exe جعلی که خودش را فیلم جا می‌زند؛ چطور بشناسیم؟

یکی از قدیمی‌ترین ترفندهای پخش بدافزار، برنامه‌ای است که اسمش شبیه فیلم یا سند است؛ مثل movie.mp4.exe یا invoice.pdf.scr. ویندوز به‌طور پیش‌فرض پسوند آخر را پنهان می‌کند، پس شما فقط movie.mp4 می‌بینید و با دوبار کلیک، به‌جای پخش فیلم یک برنامه اجرا می‌کنید. پرشین دانلود منیجر از نسخهٔ ۳.۴ هر فایلی را که دانلود می‌کند از این نظر بررسی می‌کند و اگر فایلی خودش را جای چیز دیگری جا زده باشد، هشدار قرمز می‌دهد.

چرا این ترفند جواب می‌دهد؟

• ویندوز پسوند فایل‌های شناخته‌شده را پنهان می‌کند. فایل movie.mp4.exe در پوشه به اسم movie.mp4 دیده می‌شود، و چون .mp4 جزو اسم فایل است، شک نمی‌کنید.
• آیکن را هم می‌شود جعل کرد. برنامه می‌تواند آیکنی شبیه فیلم یا سند داشته باشد.
• پسوند واقعی همیشه در اسم نیست. فایلی با نام movie.mp4 هم ممکن است در واقع یک برنامه باشد. ویندوز آن را اجرا نمی‌کند، ولی بعداً با تغییر نام یا از راه دیگری می‌تواند دردسر شود.

پرشین دانلود منیجر چه چیزهایی را بررسی می‌کند؟

۱. اسم فایل، همان لحظهٔ افزودن. اگر پسوند آخر فایل چیزی باشد که برنامه اجرا می‌کند (مثل exe، msi، scr، bat، cmd، com، pif، vbs، js، ps1، hta، lnk، jar یا reg) و پسوند قبل از آن ادعا کند ویدیو، صوت، سند، عکس یا فایل فشرده است، فایل فریبنده شناخته می‌شود.

۲. محتوای واقعی فایل، بعد از تمام شدن دانلود. برنامه ابتدای فایل را می‌خواند. اگر فایلی که اسمش movie.mp4 است در واقع یک برنامهٔ ویندوز، لینوکس یا مک باشد، باز هم فریبنده شناخته می‌شود.

در هر دو حالت، فایل در دستهٔ «برنامه‌ها» قرار می‌گیرد، حتی اگر شما دستهٔ دیگری انتخاب کرده باشید. اگر پوشه را خودتان انتخاب کرده باشید، فایل همان‌جا می‌ماند و فقط برچسب هشدار می‌گیرد.

چه چیزی می‌بینید؟

• نشان قرمز هشدار کنار دانلود. اگر نشانگر را روی آن ببرید، می‌نویسد «این فایل یک برنامه است که خود را ویدیو نشان می‌دهد» (یا سند، عکس و مانند آن).
• یک پیام جدا از ویندوز با عنوان «هشدار: فایل فریبنده». این پیام حتی وقتی پنجرهٔ برنامه باز است و حتی اگر اعلان‌های برنامه را خاموش کرده باشید هم نشان داده می‌شود، چون به امنیت مربوط است.
• جملهٔ اول «چرا؟» در پنجرهٔ «مشخصات»: «هشدار: این فایل یک برنامه است، نه ویدیو — قبل از باز کردن مطمئن شوید».

برنامه این فایل را پاک، قفل یا تغییر نام نمی‌دهد؛ فقط خبر می‌دهد و تصمیم با شماست. یک فایل نصب معمولی مثل setup.exe هم هشدار نمی‌گیرد؛ هشدار فقط برای برنامه‌ای است که خودش را چیز دیگری جا زده باشد.

اگر هشدار دیدید چه کنید؟

1. فایل را باز نکنید. اگر دنبال فیلم یا سند بودید، این فایل آن نیست.
2. منبع را بررسی کنید. اگر فایل را از سایت رسمی گرفته‌اید و کد صحتش را منتشر کرده، سالم بودن فایل را با SHA-256 بسنجید.
3. اگر مطمئن نیستید، فایل را پاک کنید یا پیش از هر کاری با آنتی‌ویروس بررسی‌اش کنید.

این بررسی جای آنتی‌ویروس را نمی‌گیرد. فقط یک نوع فریب مشخص را پیدا می‌کند و هر برنامهٔ مخربی را نمی‌شناسد. وقتی فایلی را از داخل برنامه باز می‌کنید، خود ویندوز هم آن را با آنتی‌ویروس نصب‌شده بررسی می‌کند.

پسوند درست برای فایل‌های بی‌نام

همین بررسی محتوا یک کار مفید دیگر هم می‌کند. بعضی لینک‌ها فایلی بدون پسوند درست تحویل می‌دهند، مثل get.php یا download، و ویندوز نمی‌داند با چه برنامه‌ای بازشان کند. پرشین دانلود منیجر بعد از تمام شدن دانلود، از روی محتوای فایل پسوند درست را به اسمش اضافه می‌کند؛ مثلاً get.php می‌شود get.mp4 و data می‌شود data.pdf. جلوی «چرا؟» هم «محتوای واقعی فایل» نوشته می‌شود.

این کار با احتیاط انجام می‌شود:

• پسوند فقط از یک فهرست امن انتخاب می‌شود. برنامه هیچ‌وقت به یک فایل اجرایی پسوند بی‌خطرنما نمی‌دهد؛ برنامه‌ای پشت get.php همان اسم را نگه می‌دارد و فقط در «برنامه‌ها» قرار می‌گیرد.
• پسوند واقعی و شناخته‌شده هیچ‌وقت عوض نمی‌شود.
• اگر فایلی با اسم تازه از قبل آنجا باشد، اسم تازه شماره می‌گیرد، مثل get (1).mp4، و روی فایل دیگری نوشته نمی‌شود.

یک توصیهٔ همیشگی: پسوندها را نمایان کنید

در «فایل اکسپلورر» ویندوز ۱۱ از منوی View گزینهٔ Show و بعد File name extensions را روشن کنید؛ در ویندوز ۱۰ همین گزینه در زبانهٔ View است. از آن به بعد movie.mp4.exe را با اسم کاملش می‌بینید.

این بررسی بخشی از دسته‌بندی هوشمند نسخهٔ ۳.۴ است. آخرین نسخه را از صفحهٔ دانلود بگیرید.