Модул 2 · 2.3

Безопасно отваряне на прикачени файлове

Модул 2: Четене на поща · Време за четене: 9 минути

Учебна цел: След този урок ще знаете как прикаченият файл е вграден в писмото, кои видове файлове са опасни и защо, как да прочетете името на файла и какво да направите, когато се съмнявате.

Основни понятия: MIME, прикачен файл, base64, разширение на файла, изпълним файл, макрос, html прикачен файл, двойно разширение, преглед в браузъра, друг канал

Как прикаченият файл е вграден в писмото

Технически погледнато, писмото е само текст. Въпреки това с него можете да изпращате снимки, pdf файлове и електронни таблици. Това е възможно благодарение на MIME: споразумение за това как писмото се разделя на части. Писмо с прикачен файл се състои от поне две части: текста на писмото и файла. Всяка част има свои собствени заглавни редове (хедъри), например:

Content-Type: application/pdf; name="оферта-сватбен-букет.pdf"
Content-Disposition: attachment; filename="оферта-сватбен-букет.pdf"
Content-Transfer-Encoding: base64

JVBERi0xLjcKJcfsj6IKNSAwIG9iago8PC9MZW5ndGggNiAwIFIvRmlsdGVy
...

Самият файл е преобразуван в текст с base64: всеки 3 байта стават 4 знака. Затова по пътя прикаченият файл става приблизително с една трета по-голям. Повече за това в урок 3.3. С Още > Покажи изходния код можете сами да видите това във всяко писмо с прикачен файл.

Най-важното: името на файла и вида на файла (Content-Type) се избират от подателя. Никой по пътя не проверява дали файл с име "фактура.pdf" наистина е pdf. Името е етикет, а не доказателство.

Защо някои файлове са опасни

Един файл е опасен, ако може да направи нещо на Вашия компютър веднага щом го отворите. Снимката или обикновеният pdf файл Ви показват нещо. Програмата изпълнява команди. Разликата е в разширението на файла: буквите след последната точка в името. Въз основа на него компютърът избира с коя програма да отвори файла.

Тези видове файлове отваряйте само ако наистина ги очаквате и сте проверили подателя по друг канал:

Изпълними файлове и скриптове: .exe, .scr, .bat, .cmd, .js, .vbs, .hta. Това са програми или команди. Да ги отворите означава да ги стартирате. Обикновен клиент, доставчик или банка никога няма да Ви изпрати такъв файл по имейл.
Преки пътища и дискови образи: .lnk, .iso, .img. Файлът .lnk може да стартира команда. Windows отваря .iso или .img като допълнителен диск, а в него често отново има програма или пряк път. Нападателите използват тази опаковка, за да заобиколят антивирусните програми.
Office файлове с макроси: .docm, .xlsm и подобни. Макросът е малка програма в документ. Office обикновено блокира макросите във файлове от интернет, но атаката цели да Ви накара все пак да ги включите. Документ, който иска да натиснете "Разрешаване на съдържанието" или "Разрешаване на редактирането", за да видите текста, е тревожен сигнал.
Html прикачени файлове: .html или .htm. Браузърът ги отваря като уеб страница. Често това е фалшива страница за вписване, например на Вашата webmail или на Microsoft, с вече попълнен Ваш адрес. Каквото въведете, отива при нападателя. Тъй като файлът се намира на Вашия собствен компютър, в адресната лента не виждате подозрителен уеб адрес.
Zip файлове с парола, при които паролата е посочена в самото писмо. Антивирусната програма не може да погледне в шифрован архив. Точно затова нападателите правят това. Обикновеният zip без парола не е непременно подозрителен, но проверете какво съдържа, преди да отворите каквото и да е.

А pdf? Pdf файлът обикновено е безопасен за разглеждане, особено в браузъра. Опасността е в съдържанието му: бутон "Преглед на фактура" или QR код, който води към фалшива страница за вписване. Отнасяйте се към връзка в pdf файл толкова критично, колкото към връзка в писмо (урок 2.4).

Четете името отдясно наляво

По подразбиране Windows скрива разширението на познатите типове файлове. Файл с име

оферта-сватбен-букет.pdf.exe

тогава се показва като "оферта-сватбен-букет.pdf". За Windows има значение само последното разширение: това е програма. Иконата също не казва нищо, защото на програмата може да се даде всяка икона, включително тази на pdf файл.

Webmail показва името така, както е в писмото, с всички разширения. Затова го прочетете в webmail, преди да изтеглите каквото и да е. Ако името е твърде дълго и е съкратено, погледнете в Още > Покажи изходния код при filename. Започнете отдясно: какво стои след последната точка? Внимавайте и за дълги имена с много интервали преди истинското разширение, както и за имена като "Фактура_2026_pdf.zip": те съдържат "pdf", но са zip.

Съвет за Windows: във Файловия мениджър, в менюто Изглед, включете показването на разширенията на имената на файлове. Тогава винаги ще виждате истинското разширение.

Преглед или изтегляне?

Ако в webmail щракнете върху името на прикачен файл, webmail го отваря в нов прозорец, когато браузърът Ви може да показва този вид файл, например pdf или снимка. Това е най-безопасният начин за преглед: браузърът показва файла в собствената си изолирана среда и не стартира програма на компютъра Ви.

Ако изтеглите прикачен файл и го отворите от компютъра си, това става чрез програмата, свързана с разширението: Word, Excel или, при .exe, самия файл. Именно там е рискът. Затова изтегляйте само това, което Ви е нужно и което очаквате.

Съобщение с две снимки като прикачени файлове и връзката Изтегляне на всички прикачени файлове — (1) прикачените файлове, (2) Изтегляне на всички прикачени файлове

На изображението виждате писмо с две снимки като прикачени файлове и връзката Изтегляне на всички прикачени файлове. Тази връзка Ви дава един zip файл с всички прикачени файлове. Удобно е, но така изтегляте и прикачени файлове, които не сте прегледали.

Доверието зависи от ситуацията

Прикаченият файл не е безопасен или опасен само заради вида си. Ситуацията също има значение. Задайте си три въпроса:

Очаквам ли това? Елена е помолила Ахмед за снимка на роклята; тогава .jpg от Ахмед е логичен. Неочаквана "фактура" от фирма, от която тя никога не е купувала нищо, не е.
Пасва ли файлът на историята? Офертата е pdf. Оферта като .html, .iso или zip с парола не пасва.
Подателят истински ли е? Погледнете адреса и домейна (урок 2.2). Но внимавайте: и истински подател може да е хакнат. Ако пощенската кутия на Димитър е превзета, опасният прикачен файл идва съвсем нормално от dimitar@example.com, често като отговор в съществуващ разговор.

Ако се съмнявате, попитайте по друг канал: обадете се на подателя на номер, който вече имате, или изпратете ново писмо (не като отговор на подозрителното писмо). Истинският подател няма да намери това за странно.

Все пак сте отворили нещо нередно? Изключете компютъра от мрежата, сменете паролите си от друго устройство и потърсете помощ. Курсът Безопасно онлайн описва това стъпка по стъпка.

На практика: така работи в webmail

В webmail прикачените файлове са над текста на писмото. Щракнете върху името, за да го прегледате; чрез стрелката до името можете да изберете, наред с другото, изтегляне. Изтегляне на всички прикачени файлове дава един zip файл. Ръководството за Roundcube описва бутоните в раздела Отваряне и запазване на прикачени файлове. В друга webmail, като Gmail или Outlook.com, работи по подобен начин: и там можете първо да прегледате прикачения файл в браузъра, преди да го изтеглите.

Обобщение

Прикаченият файл е част от писмото (MIME), кодирана като текст с base64; името и вида избира самият подател.
Опасни са програмите и скриптовете, преките пътища и дисковите образи, Office с макроси, html прикачените файлове и zip файловете с парола.
Четете името на файла отдясно наляво; има значение само последното разширение, а иконата не доказва нищо.
Прегледът в браузъра е по-безопасен от изтеглянето и отварянето.
Ако се съмнявате, проверете по друг канал; и познат подател може да е хакнат.

Тест (quiz)

Задача

Задача A2.3: На кои прикачени файлове не се доверявате? Материалът bijlagen-1.txt се намира под тази задача: десет номерирани прикачени файла, всеки с подателя и ситуацията, в която е пристигнало писмото. Оценете всеки прикачен файл с трите въпроса от този урок (очаквам ли това, пасва ли файлът на историята, подателят истински ли е) и с наученото за разширенията. Въведете номерата на прикачените файлове, които не бихте отворили. Програмата сравнява Вашия избор с ключа с отговорите и показва за всеки прикачен файл дали изборът Ви е правилен, заедно с причината.

Прочетете още

Където са описани стъпки в webmail, те се отнасят за webmail на WebOké; в друга webmail работи по подобен начин.

Бисквитки в WebOké

Настройки за бисквитки

Необходими

Маркетинг