Электронная почта остается главным вектором атак на корпоративных и частных пользователей. Несмотря на развитие мессенджеров и облачных хранилищ, именно почтовые вложения — особенно архивы — служат основным контейнером для доставки вредоносного ПО. По данным экспертов по информационной безопасности (в частности, исследования CNews за II квартал 2024 года), архивы форматов .rar, .zip, .7z и других составляют 81,4% от всех вредоносных вложений в спам-рассылках.

Почему хакеры выбирают архивы?

Использование архивов дает злоумышленникам несколько критических преимуществ:

• Обход антивирусных шлюзов: Многие почтовые серверы и корпоративные шлюзы безопасности не могут (или не настроены на) глубокое рекурсивное распаковывание вложенных архивов, особенно если они защищены паролем.
• Маскировка расширений: Внутри архива может находиться исполняемый файл (.exe, .scr, .bat, .js, .vbs), но пользователь видит только безобидный .zip или .rar.
• Социальная инженерия: Пароль на архив часто передается в теле того же письма (или следующего). Это создает иллюзию конфиденциальности и легитимности («защищенный коммерческий документ»), а также автоматически исключает автоматическое сканирование содержимого защитными системами.
• Полиморфизм: Один и тот же вредоносный полезный груз можно упаковать в тысячи разных архивов с разными хеш-суммами, что делает сигнатурное обнаружение неэффективным.

Основные сценарии атак через архивы

Исполняемые файлы (PE) внутри архива — классика жанра

Согласно исследованиям, в подавляющем большинстве случаев внутри архивов находятся исполняемые файлы в формате Portable Executable (PE). Это могут быть:

• Трояны-шпионы (Spyware/Stealers) — крадут пароли, куки, криптокошельки (например, Qbot / QakBot).
• Трояны-банкеры — перехватывают банковские сессии.
• Дропперы и загрузчики — скачивают и устанавливают основной вредонос (ransomware, майнеры).
• Рансомвэйр (шифровальщики) — например, GandCrab (распространялся в ZIP-архивах с названиями вроде Люблю_тебя0891.zip к Дню св. Валентина) или Troldesh (Shade).

Архивы с паролем — главная боль SOC-аналитиков

Всплеск активности с пароль-защищенными RAR-архивами фиксировался еще в 2017 году (червь Yanker) и актуален по сей день. Механизм прост:

1. Письмо приходит с вложением document.rar или scan_123.zip.
2. В теле письма указан пароль: «Пароль: 1234» или «Пароль указан в следующем письме».
3. Антивирус не может заглянуть внутрь без пароля.
4. Пользователь вручную распаковывает и запускает .exe или скрипт.

Двойное расширение и маскировка под документы

Классический трюк, который работает за счет настроек Windows «Скрывать расширения для зарегистрированных типов файлов» по умолчанию.

• Настоящее имя: повестка_в_суд.doc.js или накладная.pdf.exe.
• Что видит пользователь: повестка_в_суд.doc с иконкой Word или накладная.pdf с иконкой Adobe Reader.
• Файл упакован в архив, чтобы почтовый сервер не заблокировал «опасное» расширение .js или .exe на входе.

Вложенные архивы (Matryoshka / «Матрешка»)

Архив в архиве в архиве;.. Часто на 3-5 уровне вложенности находится вредонос. Это утомляет автоматический анализатор (песочницу), у которого есть лимит глубины распаковки или времени анализа.

Типичные темы писем (Social Engineering)

Злоумышленники используют актуальные бизнес-темы, чтобы заставить пользователя открыть вложение:

• Финансы/Бухгалтерия: «Счет на оплату», «Акт сверки», «Платежное поручение», «Накладная».
• Юриспруденция: «Вызов в суд», «Исполнительное производство», «Претензия», «Договор».
• HR/Кадры: «Резюме», «Личное дело», «Приказ о найме/увольнении».
• Логистика: «Трек-номер посылки», «Уведомление о доставке», «Таможенная декларация».
• Персональные/Эмоциональные: «Фотографии», «Люблю тебя» (как в случае с GandCrab), «Важная информация».

Технические особенности современных вредоносов из архивов

Файлы-контейнеры (ISO, IMG, VHD)

Хотя запрос касается ZIP/RAR/7Z, стоит упомянуть тренд 2022-2024 гг.: хакеры перешли на образы дисков (.iso, .img, .vhd, .vhdx). Windows монтирует их нативно двойным кликом, как флешку, не требуя сторонних архиваторов и часто обходя Mark-of-the-Web (MoTW), метку безопасности файлов из интернета.

Скрипты и LOLBins (Living Off The Land Binaries)

Вместо .exe внутри архива все чаще лежат скрипты:

• .js / .jse (JScript)
• .vbs / .vbe (VBScript)
• .wsf (Windows Script File)
• .ps1 (PowerShell)
• .bat / .cmd (Batch)

Они запускают системные утилиты (mshta.exe, wscript.exe, cscript.exe, powershell;exe, rundll32.exe, regsvr32.exe) для загрузки следующей стадии вредоноса прямо в память (fileless malware).

Ярлыки (.lnk) и интернет-ярлыки (.url)

Внутри архива может лежать ярлык, который при клике выполняет команду PowerShell/CMD или открывает вредоносный URL в браузере, скачивая полезную нагрузку.

Как защититься: Многоуровневая стратегия

Уровень 1: Технические средства (Gateway & Endpoint)

1. Блокировка исполняемых расширений на шлюзе: Настройте почтовый сервер / Secure Email Gateway (SEG) на блокировку или карантин вложений с расширениями .exe, .scr, .bat, .cmd, .js, .vbs, ;ps1, .jar, .lnk, .url — даже внутри архивов.
2. Политика пароль-защищенных архивов: Настройте правило: «Пароль-защищенные архивы → Карантин / Удаление / Отправка на ручную проверку SOC». Легитимные бизнес-партнеры могут передавать пароли по другому каналу (СМС, мессенджер, телефон).
3. Песочницы (Sandbox) с эмуляцией пользователя: Используйте решения, умеющие вводить пароли из тела письма для распаковки архивов в песочнице (Dynamic Analysis).
4. Content Disarm & Reconstruction (CDR): Технология «сборки» чистого файла из компонентов, удаляющая активное содержимое (макросы, скрипты, встроенные объекты) из документов внутри архивов.
5. Отключение автозапуска/автомонтирования: GPO: отключить автозапуск для всех типов носителей, запретить монтирование ISO/IMG без прав админа.

Уровень 2: Настройка клиентской стороны (Windows / Email Client)

• Показывать расширения файлов: Обязательно отключите «Скрывать расширения для зарегистрированных типов файлов» (Панель управления → Параметры папок → Вид). Это нейтрализует атаку двойным расширением.
• Mark of the Web (MoTW): Убедитесь, что файлы, скачанные из почты/браузера, получают зону Zone.Identifier = 3 (Internet). Это заставит Windows запрашивать подтверждение перед запуском скриптов/исполняемых файлов и включит SmartScreen / Defender SmartScreen.
• Правила Атаки (Attack Surface Reduction — ASR): Включите правила Microsoft Defender ASR (GPO/Intune/MEM):
  • Блокировка выполнения исполняемого содержимого, скачанного из интернета.
  • Блокировка запуска скриптов (JS/VBS/PS) из архивов/вложений почты.
  • Блокировка создания дочерних процессов Office-приложениями (winword.exe, excel.exe, outlook.exe).

Уровень 3: Человеческий фактор (Обучение)

• Правило «Не ожидал — не открывай»: Даже если письмо от коллеги/партнера. Подтвердите через другой канал (звонок, корпоративный чат, лично).
• Проверка отправителя: Смотрите не на «Отображаемое имя» (Display Name), а на реальный SMTP-адрес (From: и Return-Path:). Проверяйте SPF/DKIM/DMARC (в заголовках письма).
• Осторожность с паролями в письме: Легитимные сервисы (банки, гос. порталы) почти никогда не присылают пароль от архива в том же письме.
• Не включайте макросы/редактирование: Если открыли документ из архива и он просит «Включить содержимое» или «Включить редактирование» — это 99% вредонос.

Что делать, если архив уже открыт / файл запущен?

1. Немедленно отключите компьютер от сети (выдерните кабель / отключите Wi-Fi / включите режим самолета). Это остановит шифрование сетевых шар и утечку данных.
2. Не перезагружайте систему до прихода специалистов ИБ — в памяти могут остаться ключи шифрования или артефакты для форензики.
3. Сообщите в службу ИБ / сисадмину максимально быстро. Время — критичный фактор при вымогательстве.
4. Сохраните подозрительное письмо и вложение (в отдельный защищенный архив с паролем «virus» или «infected») для передачи аналитикам / загрузки в VirusTotal / Hybrid Analysis.
5. Смените пароли с чистого устройства (телефон, другой ПК) для критичных аккаунтов (почта, банкинг, VPN, корпоративный портал), если есть подозрение на стилер (RedLine, Vidar, Raccoon и др.).

Роль почтовых провайдеров (Gmail, Yandex, Outlook, Корпоративные Exchange/Postfix)

Крупные провайдеры (Google, Microsoft, Яндекс) автоматически сканируют вложения.

• Gmail: Блокирует отправку/получение определенных типов файлов (включая .exe, .js, .bat и зашифрованные архивы, которые нельзя просканировать). Показывает предупреждение «Этот файл может навредить вашему компьютеру».
• Корпоративные решения: Имеют более гибкие политики. Администратор обязан настроить транспортные правила: блокировка пароль-защищенных архивов, блокировка двойных расширений, интеграция с Sandbox (ATP / Advanced Threat Protection).

Архивы (ZIP, RAR, 7Z) остаются «золотым стандартом» доставки вредоноса через почту уже более десяти лет. Технологии меняются (появились ISO, LNK, скрипты), но вектор — социальная инженерия + контейнер, скрывающий полезную нагрузку от автоматических сканеров — неизменен.

Единственная надежная защита, комбинация жестких технических политик на уровне шлюза и эндпоинта (блокировка опасных типов, песочницы, ASR, CDR) с постоянным обучением персонала. Помните: антивирус внутри архива с паролем «слеп», а пользователь, вводящий пароль, — это «ручной дешифратор» для хакеров.

Будьте внимательны. Лучше удалить подозрительное письмо с архивом сто раз, чем один раз восстанавливать зашифрованную базу 1С или платить выкуп.