Hoppa till innehåll

Guide

Hur man kontrollerar en körbar fils sökväg och digitala signatur

Identifiera den faktiska filen som körs, granska dess undertecknare och version, och håll signaturbevis åtskilda från ett avgörande om skadlig kod.

Identifiera den exakta filen

Börja från den körande processen i Aktivitetshanteraren och öppna dess filplats eller egenskaper. Anteckna den fullständiga sökvägen, det körbara filnamnet och versionen. Liknande filnamn kan tillhöra orelaterade produkter, och olika installationer av en produkt kan legitimt använda olika kataloger. Om processen har avslutats, skilj filen på disken från den tidigare processinstansen.

Jämför programmet med dess installationskälla och utgivarens dokumentation. Ett produktnamn i en filbeskrivning är redigerbara metadata. Ett filnamn i sig kan inte fastställa att en process är säker.

Granska den digitala signaturen

Där Windows visar en flik för Digitala signaturer, granska undertecknaren och signaturinformationen. Vissa Windows-filer använder katalogsignering snarare än en inbäddad signatur, så frånvaron av den fliken är inte ett definitivt fynd av skadlig kod. Jämför undertecknaren med den förväntade utgivaren, med hänsyn till dokumenterade företags- eller certifikatändringar.

Microsoft Sysinternals Sigcheck rapporterar version, hash och signaturinformation, inklusive certifikatkedjor. Använd den officiella nedladdningen och granska kommandohjälpen. En lokal kontroll som sigcheck -h -i följt av den citerade fullständiga filsökvägen granskar den valda filen. Spara den exakta hashen när du jämför bevis om den versionen.

Förstå vad bevisen innebär

En giltig signatur styrker utgivarens identitet och integritet för signerat innehåll. Den garanterar inte att programvaran är lämplig, felfri eller ofarlig. En osignerad fil kan vara ett legitimt internt verktyg. En ogiltig signatur kan återspegla modifiering eller ett verifieringsproblem som behöver utredas. Behandla dessa som bevis som ska redas ut snarare än automatiska avgöranden.

Onlinerykte är ett separat steg. Sigcheck erbjuder VirusTotal-relaterade alternativ, varav vissa kan skicka in filer. Ladda inte upp konfidentiella körbara filer eller dokument utan tillstånd. Lokal signaturgranskning kräver inte en offentlig filuppladdning.

Välj nästa steg utifrån bevisen

Om sökvägen, undertecknaren eller installationsursprunget är oväntat, undvik att starta filen igen. Använd Windows-säkerhet eller din organisations säkerhetsverktyg och behåll relevanta bevis. Använd produktens avinstallationsprocedur som stöds när borttagning är lämplig.

Ta inte bort en Windows-systembinär bara för att dess namn visas i ett sökresultat eller för att ett resursprov ser högt ut. Om du behöver hjälp, ange den exakta sökvägen, undertecknarstatus, filversion, hash och det observerade symptomet. Ta bort personliga identifierare innan du delar loggar.

Källor

Redaktionellt ägarskap: Feex. Inget oberoende granskningsdatum har registrerats. Hur vi efterforskar.

Var den här guiden till hjälp?

Ett ja eller nej räcker. Välj en anledning om du vill, eller lägg till en kort anteckning.

Var den här guiden till hjälp?