Руководство

Как проверить путь к исполняемому файлу и цифровую подпись

Определите фактически запущенный файл, проверьте сведения о подписавшем субъекте и версии, а также отделяйте данные о подписи от вердикта о вредоносном ПО.

Определите точный файл

Начните с запущенного процесса в Task Manager и откройте расположение его файла или свойства. Зафиксируйте полный путь, имя исполняемого файла и версию. Похожие имена файлов могут принадлежать несвязанным продуктам, а разные установки одного и того же продукта могут законно использовать разные каталоги. Если процесс уже завершен, отличайте файл на диске от предыдущего экземпляра процесса.

Сравните программу с источником установки и документацией издателя. Название продукта в описании файла является редактируемыми метаданными. Одно лишь имя файла не может подтверждать безопасность процесса.

Проверьте цифровую подпись

Если Windows отображает вкладку "Цифровые подписи", проверьте подписавшего субъекта и сведения о подписи. Некоторые файлы Windows используют подпись по каталогу, а не встроенную подпись, поэтому отсутствие этой вкладки не является окончательным признаком вредоносного ПО. Сравните подписавшего субъекта с ожидаемым издателем, учитывая задокументированные изменения компании или сертификата.

Microsoft Sysinternals Sigcheck предоставляет сведения о версии, хеше и подписи, включая цепочки сертификатов. Используйте официальный источник загрузки и изучите справку по командам. Локальная проверка, например sigcheck -h -i с последующим полным путем к файлу в кавычках, проверяет выбранный файл. Сохраняйте точный хеш при сопоставлении данных об этой версии.

Оцените значение полученных сведений

Действительная подпись подтверждает подлинность издателя и целостность подписанного содержимого. Она не гарантирует, что программное обеспечение подходит для ваших задач, лишено ошибок или безвредно. Неподписанный файл может быть легитимным внутренним инструментом. Недействительная подпись может указывать на модификацию или проблему с проверкой, требующую расследования. Рассматривайте эти факты как данные для анализа, а не как автоматические вердикты.

Проверка репутации в сети - это отдельный шаг. Sigcheck предлагает параметры, связанные с VirusTotal, некоторые из которых могут отправлять файлы. Не загружайте конфиденциальные исполняемые файлы или документы без разрешения. Локальная проверка подписи не требует общедоступной загрузки файлов.

Выберите следующий шаг на основе полученных сведений

Если путь, подписавший субъект или источник установки вызывают подозрения, избегайте повторного запуска файла. Используйте Windows Security или средства безопасности вашей организации и сохраните соответствующие свидетельства. Используйте поддерживаемую процедуру удаления продукта, когда удаление уместно.

Не удаляйте системный бинарный файл Windows только потому, что его имя появилось в результатах поиска, или из-за того, что единичный замер ресурсов показался высоким. Если вам нужна помощь, укажите точный путь, статус подписи, версию файла, хеш и наблюдаемый симптом. Удалите персональные идентификаторы перед отправкой журналов.

Источники

Редакционная принадлежность: Feex. Дата независимой проверки не зарегистрирована. Как мы проводим исследования.

Microsoft Sysinternals: Sigcheck · Основная документация. Диагностическая последовательность является редакционным руководством Feex; она не представляет собой индивидуальную диагностику параметров вашего ПК.
Microsoft Sysinternals: Process Explorer · Основная документация. Диагностическая последовательность является редакционным руководством Feex; она не представляет собой индивидуальную диагностику параметров вашего ПК.

Было ли это руководство полезным?

Достаточно ответа "да" или "нет". При желании выберите причину или оставьте короткую заметку.