Как визуально выявить исполняемый файл, даже если он замаскирован?

Question

[mdkolpakov]

Здравствуйте!
Есть ли достоверная возможность визуально определить является ли файл обычным документом\таблицей\картинкой, а не замаскированным исполняемым файлом (exe, bat, py и т.д.). Можно ли замаскировать исполняемый файл таким образом, что даже в его свойствах будет указано, что это pdf?
Или же в любом случае любой файл необходимо проверять в песочнице и только тогда можно определить, исполняемый он или нет?
Заранее благодарю за ответ.

Comments

[CityCat4]

Добавил тег Windows.

Answer 1

[Mors Clamor]

Эм. Из всего перечисленного исполняемый это EXE. Любой файл - это набор данных. Даже исполняемый. Просто исполняемый содержит код, который потом будет исполнен операционной системой. Соответственно, если вы .exe файл переименуете в .pdf он от этого не останется исполняемым, потому что PDF-редактору будет передан непонятный для него набор данных.

Насколько мне известно, все случаи, когда исполняемые части прятались в картинках, документах и так далее были связаны либо с уязвимостями в соответствующих программах, когда например просмотрщик фото начинал исполнять код, который не предназначался для исполнения (атака типа Stack Overflow, как пример). А без эксплуатации уязвимостей код из .JPEG не будет исполняться, а будет считаться просто непонятным набором байтов.

С остальными (.bat, .py) - уже интереснее. Для интерпретируемых языков должен быть кто? Правильно - интерпретатор. Опять же, просто открыв картинку, файл .jpg не станет открываться CMD интерпретатором. Про питон ваще молчу, там отдельный исполняемый файл нужно устанавливать.

Пусть ИБ-шники поправят если я не прав, ибо не ПРО100Хакер

Comments

[Mors Clamor]

Ну а скрипты в редакторах типа Word, Excel - это тоже отдельная история, но там как правило всё утыкано предупреждениями о небезопасности

[hint000]

Тут проблема в том, что вопрос заключает неточное понимание его автора.

Можно ли замаскировать исполняемый файл таким образом, что даже в его свойствах будет указано, что это pdf?

Автор не понимает, что вот эти "свойства" отображаются всего лишь на основании расширения файла, а не его содержимого. Что для "маскировки" можно сменить расширение. А когда потребуется - сменить обратно. Но такая "маскировка" во-первых, не обманывает антивирусы, а во-вторых, и не позволяет пользователю случайно своими руками запустить файл с исполняемым содержимым, когда его расширение не соответствует исполняемому файлу. Т.е. маскировка насколько лёгкая, настолько же и бессмысленная. Другое дело - маскировка двойным расширением и множеством пробелов

"Для главного бухгалтера.pdf                            .exe"
"Для главного бухгалтера.pdf                                                                                                    .exe"

- в расчёте на то, что настоящее расширение окажется скрыто за краем окна. Или более изощрённые способы, как вставка символов, меняющих направление отображения текста https://habr.com/ru/articles/126198/

[Mors Clamor]

hint000, ну то практически социальная инженерия, я больше подумал про технические аспекты возможности исполнения того, что написано в JPG или где-то еще)

Answer 2

[CityCat4]

Есть ли достоверная возможность визуально определить является ли файл обычным документом\таблицей\картинкой, а не замаскированным исполняемым файлом

В винде - нет.

Можно ли замаскировать исполняемый файл таким образом, что даже в его свойствах будет указано, что это pdf?

В винде - да.

Кроме того, существует возможность "исполнения" скриптов (макросов) программами, для которых существует собственный скриптовый язык - pdf, офисные пакеты, svg...

Answer 3

[Василий Банников]

Просто включи показ расширений и тогда будет очевидно.

Но учитывай, что даже не исполняемые файлы могут нести в себе какой-то исполняемый код, если в целевой программе есть какая-то уязвимость. В этом плане файлы от офиса (особенно с макросами) и PDF в зоне максимального риска из-за особенностей формата.

Answer 4

[greymouse2]

начнем от табуретки..
1. линукс - файл исполнимый если на нем стоит атрибут исполнимый. (а уж что там внутри - а фиг его знает)
скрипт или документ - НЕ ЯВЛЯЕТСЯ исполнимым файлом. поэтому как pdf так и py - запускаются чем-то другим(уже исполнимым)..
2.виндовс. исполнимый файл - c расширением exe, com. bat и cmd js - не являются исполнимыми файлами. ибо скрипты.
обратите внимание на сообщение от Василий Банников Василий Банников .. даже если что-то не является исполнимым файлом - это не значит что оно безопасно.. например есть руткиты которые фрилансеры ставят на заказные сайты заказчиков во избежание кидалова. один из вариантов интегрируется внутрь реальной картинки и оно даже картинку покажет.. а если знать - запускаешь этот файл в браузере - и вуаля у тебя админка к сайту..