Посібник

Як перевірити шлях до виконуваного файлу та його цифровий підпис

Визначте фактично запущений файл, перевірте його підписувача та версію, а також відокремлюйте дані про підпис від висновку щодо шкідливого ПЗ.

Визначення точного файлу

Почніть із запущеного процесу в Task Manager і відкрийте розташування його файлу або властивості. Зафіксуйте повний шлях, назву виконуваного файлу та його версію. Схожі назви файлів можуть належати непов'язаним продуктам, а різні інсталяції одного продукту можуть законно використовувати різні каталоги. Якщо процес уже завершився, відрізняйте файл на диску від попереднього екземпляра процесу.

Порівняйте програму з джерелом її інсталяції та документацією видавця. Назва продукту в описі файлу є метаданими, які можна редагувати. Сама лише назва файлу не може підтвердити безпечність процесу.

Перевірка цифрового підпису

Якщо у Windows доступна вкладка Digital Signatures, перевірте підписувача та відомості про підпис. Деякі файли Windows використовують підписування за допомогою каталогів замість вбудованого підпису, тому відсутність цієї вкладки не є остаточним доказом наявності шкідливого ПЗ. Порівняйте підписувача з очікуваним видавцем, ураховуючи задокументовані зміни назви компанії або сертифіката.

Microsoft Sysinternals Sigcheck надає інформацію про версію, хеш і підпис, включно з ланцюжками сертифікатів. Використовуйте офіційне джерело завантаження та ознайомтеся з довідкою до команди. Локальна перевірка, як-от sigcheck -h -i з указаним у лапках повним шляхом до файлу, перевіряє вибраний файл. Збережіть точний хеш для порівняння даних щодо цієї версії.

Розуміння значення отриманих даних

Дійсний підпис підтверджує особу видавця та цілісність підписаного вмісту. Він не гарантує, що програмне забезпечення є придатним, не містить помилок або є нешкідливим. Непідписаний файл може бути легітимним внутрішнім інструментом. Недійсний підпис може свідчити про модифікацію або проблему перевірки, яка потребує розслідування. Сприймайте це як свідчення, що потребують аналізу, а не як автоматичні висновки.

Перевірка репутації в інтернеті - це окремий крок. Sigcheck пропонує параметри, пов'язані з VirusTotal, деякі з яких можуть надсилати файли. Не завантажуйте конфіденційні виконувані файли або документи без дозволу. Локальна перевірка підпису не вимагає публічного завантаження файлу.

Вибір наступного кроку на основі отриманих даних

Якщо шлях, підписувач або походження інсталяції є неочікуваними, уникайте повторного запуску файлу. Скористайтеся Windows Security або засобами безпеки вашої організації та збережіть відповідні докази. Якщо доречно видалити продукт, використовуйте підтримувану ним процедуру видалення.

Не видаляйте системний двійковий файл Windows лише тому, що його назва з'явилася в результатах пошуку або тому, що один із показників використання ресурсів здається високим. Якщо вам потрібна допомога, надайте точний шлях, статус підписувача, версію файлу, хеш і зафіксовані ознаки проблеми. Видаліть персональні дані, перш ніж ділитися журналами.

Джерела

Власник авторських прав: Feex. Дата незалежної перевірки не зафіксована. Як ми проводимо дослідження.

Microsoft Sysinternals: Sigcheck · Основна документація. Діагностична послідовність є редакційними рекомендаціями Feex; вона не є виміряним діагнозом вашого ПК.
Microsoft Sysinternals: Process Explorer · Основна документація. Діагностична послідовність є редакційними рекомендаціями Feex; вона не є виміряним діагнозом вашого ПК.

Чи був цей посібник корисним?

Достатньо відповісти "так" або "ні". За бажанням виберіть причину або додайте коротку примітку.