Przejdź do treści

Poradnik

Jak sprawdzić ścieżkę pliku wykonywalnego i podpis cyfrowy

Zidentyfikuj faktycznie uruchomiony plik, sprawdź podmiot podpisujący oraz wersję i oddziel dowody dotyczące podpisu od werdyktu o złośliwym oprogramowaniu.

Zidentyfikuj dokładny plik

Zacznij od uruchomionego procesu w Menedżerze zadań i otwórz lokalizację jego pliku lub właściwości. Zapisz pełną ścieżkę, nazwę pliku wykonywalnego oraz wersję. Podobne nazwy plików mogą należeć do niepowiązanych produktów, a różne instalacje tego samego produktu mogą zgodnie z prawem używać różnych katalogów. Jeśli proces został zakończony, odróżnij plik na dysku od wcześniejszego wystąpienia procesu.

Porównaj program ze źródłem instalacji i dokumentacją wydawcy. Nazwa produktu w opisie pliku to edytowalne metadane. Sama nazwa pliku nie pozwala stwierdzić, czy proces jest bezpieczny.

Sprawdź podpis cyfrowy

W miejscach, w których system Windows wyświetla kartę Podpisy cyfrowe, sprawdź podmiot podpisujący i szczegóły podpisu. Niektóre pliki systemu Windows korzystają z podpisywania za pomocą plików wykazu (katalogu), a nie z podpisu osadzonego, dlatego brak tej karty nie jest ostatecznym dowodem na obecność złośliwego oprogramowania. Porównaj podmiot podpisujący z oczekiwanym wydawcą, uwzględniając udokumentowane zmiany firmy lub certyfikatów.

Narzędzie Sigcheck z pakietu Microsoft Sysinternals raportuje wersję, skrót i informacje o podpisie, w tym łańcuchy certyfikatów. Skorzystaj z oficjalnego pliku do pobrania i zapoznaj się z pomocą dotyczącą poleceń. Sprawdzenie lokalne, takie jak sigcheck -h -i, po którym następuje ujęta w cudzysłów pełna ścieżka pliku, weryfikuje wybrany plik. Zachowaj dokładny skrót podczas porównywania dowodów dotyczących tej wersji.

Zrozum znaczenie zebranych dowodów

Ważny podpis potwierdza tożsamość wydawcy oraz integralność podpisanej zawartości. Nie gwarantuje on, że oprogramowanie jest odpowiednie, wolne od błędów lub nieszkodliwe. Niepodpisany plik może być legalnym narzędziem wewnętrznym. Nieprawidłowy podpis może wskazywać na modyfikację lub problem z weryfikacją, który wymaga zbadania. Traktuj te informacje jako dowody do wyjaśnienia, a nie jako automatyczne werdykty.

Reputacja online to oddzielny krok. Sigcheck oferuje opcje powiązane z usługą VirusTotal, z których część może przesyłać pliki. Nie przesyłaj poufnych plików wykonywalnych ani dokumentów bez zezwolenia. Lokalna weryfikacja podpisu nie wymaga publicznego przesyłania plików.

Wybierz kolejny krok na podstawie dowodów

Jeśli ścieżka, podmiot podpisujący lub pochodzenie instalacji są nieoczekiwane, unikaj ponownego uruchamiania pliku. Użyj Zabezpieczeń Windows lub narzędzi bezpieczeństwa w Twojej organizacji i zachowaj odpowiednie dowody. Jeśli usunięcie jest wskazane, skorzystaj z obsługiwanej przez produkt procedury odinstalowywania.

Nie usuwaj binarnego pliku systemowego Windows tylko dlatego, że jego nazwa pojawia się w wynikach wyszukiwania lub że pojedyncza próbka zasobów wygląda na wysoką. Jeśli potrzebujesz pomocy, podaj dokładną ścieżkę, stan podmiotu podpisującego, wersję pliku, skrót oraz zaobserwowany objaw. Usuń identyfikatory osobiste przed udostępnieniem dzienników.

Źródła

Własność redakcyjna: Feex. Nie odnotowano daty niezależnego przeglądu. Jak prowadzimy badania.

Czy ten poradnik był przydatny?

Wystarczy odpowiedź tak lub nie. Wybierz powód, jeśli chcesz, lub dodaj krótką notatkę.

Czy ten poradnik był przydatny?