3 طرق لانتحال امتدادات الملفات المزيفة في ويندوز

يعد ملحق اسم الملف مهمًا جدًا في نظام تشغيل Windows ويظهر في نهاية اسم الملف. لا يمكنك فقط أن تخبر على الفور بنوع تنسيق الملف ، سواء كان صورة أو تطبيقًا قابلاً للتنفيذ ، يمكن لـ Windows أيضًا تحديد البرنامج الذي سيتم تشغيله به بناءً على ما هو مسجل في قائمة البرامج الافتراضية.

بشكل عام ، يجب أن تولي مزيدًا من الاهتمام لتنسيق الملف القابل للتنفيذ مثل .EXE .COM .SCR .BAT .VBS .PIF و. CMD لأنه يمكن أن يكون برنامجًا ضارًا بدلاً من برنامج شرعي. على سبيل المثال ، لا يجب أن يكون الكتاب الإلكتروني الذي يجب أن يكون في امتداد PDF أو EPUB .EXE على الرغم من أنه لا يزال ممكنًا إذا تم تغليفه بمترجم كتب إلكترونية لجهة خارجية للحماية من التوزيع غير القانوني.

نظرًا لأن مستخدمي Windows أكثر حرصًا فيما يتعلق بالامتداد القابل للتنفيذ ويولون اهتمامًا أقل بالامتدادات الأكثر أمانًا مثل تنسيقات الصور ، فهناك طريقتان لخداع المستخدم المهمل للتفكير في أن ملف EXE هو ملف صورة JPG بدلاً من ذلك. 1. إخفاء ملحقات أنواع الملفات المعروفة

يوجد إعداد في خيارات المجلد حيث يمكنك إخفاء امتداد الملف بحيث يكون اسم الملف فقط مرئيًا في Explorer أثناء إخفاء الملحق. المشكلة في هذا الإعداد هي أنه تم تعيين الخيار الافتراضي للإخفاء ويمكن خداع مستخدم أقل حرصًا عند وجود امتداد مزدوج. مثال على ملحق مزدوج:

notes.txt.exe

الملف أعلاه هو بالفعل ملف قابل للتنفيذ ولكن يظهر كملف notes.txt مع ملف exe. المخفي بسبب إعداد خيار المجلد. الخطوة التالية لجعل الملف يبدو أكثر إقناعًا هي تغيير رمز الملف إلى رمز المفكرة. كما ترى من مثال الصورة أدناه ، يبدو وكأنه ملف نصي عادي.

اذا قمت بتغيير نوع المشاهدة الى "تفاصيل" ، فانه يوضح بوضوح شديد في Explorer أن ما يسمى بملف notes.txt هو في الواقع تطبيق.

يمكنك تأكيد ذلك أكثر من خلال النقر بزر الماوس الأيمن على الملف ، وتحديد خصائص من قائمة السياق وعرض "نوع الملف" الذي يجب أن يعرض Application (.exe) .

هذه خدعة قديمة جدًا وستحذرك بعض تطبيقات مكافحة الفيروسات مثل COMODO عندما تكتشف امتدادًا مزدوجًا في اسم الملف.

الحل السهل لمنعك من الوقوع في خدعة التمديد المزدوجة هو تعطيل خيار " إخفاء الامتدادات لأنواع الملفات المعروفة " من لوحة التحكم> خيارات المجلد> علامة التبويب عرض.

2. من اليمين إلى اليسار تجاوز

تستخدم هذه الحيلة unicode من اليمين إلى اليسار لعكس الأحرف الستة الأخيرة بحيث يتم انتحال الإضافة. على سبيل المثال ، يمكن إعادة تسمية ملف notes.exe إلى notesexe.txt. على الرغم من أن ملحق الملف يظهر بوضوح كملف .txt في Explorer ، لا يزال نظام تشغيل Windows يتعرف على الملف كتطبيق.

نظرًا لأنه لا يمكن كتابة حرف تجاوز اليمين إلى اليسار من لوحة المفاتيح ويتم عرضه فقط في برنامج مخطط توزيع الأحرف الموجود في Windows ، يمكن للمرء ببساطة تنزيل برنامج جهة خارجية مجاني يسمى BabelMap لإنشاء حرف RTLO للنسخ إلى الحافظة ولصقه عند إعادة تسمية ملف.

لحسن الحظ ، صعدت معظم متصفحات الويب الرئيسية إلى القائمة السوداء لحق تجاوز اليمين إلى اليسار بحيث تظهر ملحقات الملفات الصحيحة بشكل صحيح عندما يحاول مستخدم تنزيل الملف بامتداد مخادع باستخدام خدعة RTLO. بخلاف ذلك ، يمكن أن يساعدك استخدام طريقة العرض "تفاصيل" في Explorer كثيرًا في تحديد نوع الملف الصحيح.

3. مآثر البرمجيات

إصدار قديم من WinRAR 4.20 عرضة لاسم الملف وانتحال التمديد. هذا يعني أنه يمكنك تعديل ملف ZIP الذي تم إنشاؤه بواسطة WinRAR 4.20 باستخدام محرر سداسي لإظهار اسم ملف مختلف وملحق في واجهة المستخدم الرسومية ولكن امتداد مختلف آخر عند تشغيله مباشرة من البرنامج. مثال على ذلك ملف notes.exe مضغوط في notes.zip باستخدام WinRAR 4.20. ثم باستخدام محرر ست عشري ، انتقل إلى نهاية الملف وقم بتعديل notes.exe إلى notes.txt.

فتح ملف notes.zip في WinRAR 4.20 سيعرض الآن الملف المؤرشف كملف notes.txt المخادع بدلاً من notes.exe.

النقر المزدوج على ملف محاكاة ساخرة من WinRAR GUI سيقوم بتشغيل الملف كتطبيق. ومع ذلك ، فإن الأشخاص الذين يستخرجون الملف سيكونون في مأمن من استغلال الانتحال هذا لأنهم سيرون أنه يتم استخراج ملف قابل للتنفيذ (.exe) ، وليس ملفًا نصيًا (.txt).

تم تصحيح WinRAR 5 وما فوق من هذا الاستغلال. وبالتالي ، يُنصح دائمًا بتحديث برامجك حتى لو لم يكن تطبيقًا مرتبطًا بالإنترنت.