Guida

Come verificare il percorso di un eseguibile e la firma digitale

Identificare il file effettivamente in esecuzione, esaminarne il firmatario e la versione, e mantenere le prove relative alla firma separate da un verdetto di malware.

Identificare il file esatto

Partire dal processo in esecuzione in Gestione attivita e aprire il percorso del file o le relative proprieta. Registrare il percorso completo, il nome dell'eseguibile e la versione. Nomi di file simili possono appartenere a prodotti non correlati, e installazioni diverse dello stesso prodotto possono legittimamente utilizzare directory differenti. Se il processo e terminato, distinguere il file su disco dall'istanza precedente del processo.

Confrontare il programma con la relativa origine di installazione e con la documentazione del publisher. Il nome di un prodotto nella descrizione di un file e un metadato modificabile. Il solo nome del file non puo stabilire la sicurezza di un processo.

Esaminare la firma digitale

Laddove Windows mostri la scheda Firme digitali, esaminare il firmatario e i dettagli della firma. Alcuni file di Windows utilizzano la firma tramite catalogo anziche una firma incorporata, pertanto l'assenza di tale scheda non costituisce una prova definitiva di malware. Confrontare il firmatario con il publisher previsto, tenendo conto di eventuali variazioni documentate della societa o del certificato.

Microsoft Sysinternals Sigcheck segnala informazioni su versione, hash e firma, incluse le catene di certificati. Utilizzare il download ufficiale ed esaminare la guida del comando. Una verifica locale come sigcheck -h -i seguito dal percorso completo del file tra virgolette esamina il file selezionato. Conservare l'hash esatto quando si confrontano le prove relative a quella versione.

Comprendere il significato delle prove

Una firma valida conferma l'identita del publisher e l'integrita del contenuto firmato. Non garantisce che il software sia adeguato, privo di bug o innocuo. Un file non firmato puo essere un legittimo strumento interno. Una firma non valida puo indicare una modifica o un problema di verifica che richiede approfondimenti. Considerare questi elementi come prove da chiarire piuttosto che come verdetti automatici.

La reputazione online e un passaggio separato. Sigcheck offre opzioni correlate a VirusTotal, alcune delle quali possono inviare file. Non caricare eseguibili o documenti riservati senza autorizzazione. L'ispezione locale della firma non richiede il caricamento pubblico dei file.

Scegliere il passaggio successivo in base alle prove

Se il percorso, il firmatario o l'origine dell'installazione non corrispondono a quanto previsto, evitare di avviare nuovamente il file. Utilizzare Sicurezza di Windows o gli strumenti di sicurezza della propria organizzazione e conservare le prove pertinenti. Ricorrere alla procedura di disinstallazione supportata del prodotto quando la rimozione e opportuna.

Non eliminare un binario di sistema di Windows solo perche il suo nome compare nei risultati di ricerca o perche un singolo campione di risorse appare elevato. Se e necessario ricevere assistenza, fornire il percorso esatto, lo stato del firmatario, la versione del file, l'hash e il sintomo riscontrato. Rimuovere i dati identificativi personali prima di condividere i log.

Fonti

Titolarità editoriale: Feex. Nessuna data di revisione indipendente registrata. Come svolgiamo le ricerche.

Microsoft Sysinternals: Sigcheck · Documentazione principale. La sequenza diagnostica è una guida editoriale di Feex; non costituisce una diagnosi misurata del tuo PC.
Microsoft Sysinternals: Process Explorer · Documentazione principale. La sequenza diagnostica è una guida editoriale di Feex; non costituisce una diagnosi misurata del tuo PC.

Questa guida è stata utile?

È sufficiente un sì o un no. Scegli un motivo, se desideri, o aggiungi una breve nota.