Содержание

1. Что такое «вирус из почты‑архив»?
2. Статистика распространения (2024 г.)
3. Какие архивы используют злоумышленники?
4. Механизм заражения
5. Известные примеры вредоносных архивов
6. Как обнаружить вредоносный архив?
7. Методы защиты от вирусов‑архивов

Что такое «вирус из почты‑архив»?

Термин «вирус из почты‑архив» относится к любой вредоносной программе, которая попадает в компьютер
пользователя через вложения в электронных письмах, упакованные в архивные форматы (ZIP, RAR, 7z, rAr и др.).
Часто такие архивы маскируются под обычные документы, изображения или даже под «текстовые» файлы,
но внутри них находятся исполняемые файлы в формате Portable Executable (PE) или скрипты,
способные выполнить загрузку и установку трояна, шифровальщика или другого вредоносного кода.

Статистика распространения (2024 г.)

• По данным CNews, в рассылках второго квартала 2024 г. архивные вложения (.rar, .zip, .7z) составляли 81,4 % всех вредоносных файлов.
• Внутри 95 % таких архивов находились исполняемые PE‑файлы.
• Топ‑4 самых опасных типов вложений в спам‑письмах (по данным Касперского):
  1. ZIP‑файлы с «интригующим» названием (например, Люблю_тебя0891.zip).
  2. RAR‑архивы с паролем, часто упакованные в формат rAr.
  3. 7z‑архивы, содержащие скрипты .js или .vbs.
  4. Архивы, маскирующиеся под документы (повестка_в_суд.doc.js).

Какие архивы используют злоумышленники?

Наиболее популярные форматы:

• ZIP – самый распространённый, легко открывается в любой ОС.
• RAR – часто используется в сочетании с паролем, что усложняет автоматический анализ.
• 7z – поддерживает сильное сжатие и шифрование.
• rAr – специализированный формат, появившийся в 2024 г. и активно используется для скрытия
  вредоносного кода в зашифрованных архивах.

Механизм заражения

Обычно процесс выглядит так:

1. Злоумышленник формирует дроппер – небольшую исполняемую программу, способную загрузить основной вредоносный модуль.
2. Дроппер упаковывается в архив (часто с паролем) и отправляется в виде вложения к письму.
3. Тема письма подбирается под актуальные события (валентинки, судебные вызовы, накладные, «счета» и т.п.), чтобы вызвать интерес получателя.
4. Получатель открывает архив, вводит пароль (часто указанный в тексте письма) и запускает файл.
5. Выполняется установка шифровальщика (GandCrab, Troldesh/​Shade, Qbot и др.) или кража данных.

Известные примеры вредоносных архивов

Ниже перечислены несколько реальных кампаний, описанных в открытых источниках:

• GandCrab – шифровальщик, распространявшийся в ZIP‑архивах с названиями вроде Люблю_тебя0891.zip перед Днём святого Валентина (Касперский, 2024).
• Qbot – троян, крадущий банковские данные, распространялся в архиве invoice_2024.rar (CNews, 2024);
• Troldesh (Shade) – шифровальщик, распространявшийся через RAR‑архивы с паролем 2024secure (Securelist, 2024).
• Yankeru – многокомпонентный червь, распространявшийся в RAR‑архивах, маскируясь под «отчёт о проверке» (Securelist, 2017).
• rAr‑архивы – новые зашифрованные контейнеры, обнаруженные в июле‑августе 2024 г. (VirusInfo). Внутри часто находились .exe‑файлы, которые трудно детектировать без распаковки.

Как обнаружить вредоносный архив?

Существует несколько уровней защиты:

Антивирусный сканер на уровне шлюза

Большинство корпоративных решений (Kaspersky, Fortinet, Sophos) проверяют вложения в реальном времени.
Однако в зашифрованных архивах (пароль, rAr) детекция часто невозможна без пароля.

Анализ метаданных

• Проверка размера архива – слишком большой архив с небольшим количеством файлов может быть подозрительным.
• Сравнение хешей (MD5, SHA‑256) с базой известных вредоносных образов.
• Обращение внимания на двойные расширения (doc.js, pdf.exe).

Песочница (sandbox)

Если архив не защищён паролем, его можно распаковать в изолированной среде и проанализировать полученные файлы.

Ручная проверка

При получении подозрительного письма следует:

• Не открывать архив без проверки в антивирусе.
• Не вводить пароль, если он указан в тексте письма.
• Сверить тему письма с реальными деловыми процессами (например, «накладная» от неизвестного поставщика).

Методы защиты от вирусов‑архивов

Защита должна быть многоуровневой:

Технические меры

• Обновление антивирусных баз – новые сигнатуры появляются почти ежедневно.
• Контроль вложений на шлюзе – блокировать все архивы, если они не нужны в бизнес‑процессах.
• Деактивация макросов в Office‑документах и ограничение исполнения скриптов (.js, .vbs).
• Шифрование почтового трафика (TLS) – уменьшает возможность подмены вложений в пути.
• Система DLP (Data Loss Prevention) – отслеживает попытки отправки зашифрованных архивов наружу.

Организационные меры

• Регулярные тренинги для сотрудников по распознаванию фишинговых писем.
• Политика «не открывать архивы от неизвестных отправителей».
• Внедрение процедур верификации (например, подтверждение по телефону при получении «накладных»).
• Создание чёрного списка доменов и адресов, часто использующихся в рассылках.

Реакция на инцидент

Если заражение уже произошло:

1. Изолировать заражённый компьютер от сети.
2. Запустить полное сканирование антивирусом и специализированными утилитами (Malwarebytes, ESET).
3. Восстановить данные из резервных копий (важно, чтобы они хранились офлайн).
4. Провести форензический анализ, чтобы определить точный тип вредоносного кода.
5. Обновить правила фильтрации почты, чтобы предотвратить повторную рассылку.

Вирусы, распространяющиеся через архивные вложения в электронной почте, остаются одной из самых
эффективных тактик киберпреступников. По данным 2024 г., более 80 % всех вредоносных файлов в спаме
приходят именно в виде архивов. Основные причины их популярности:

• Возможность скрыть исполняемый код за «безобидным» расширением.
• Поддержка паролей и шифрования, усложняющая автоматический анализ.
• Лёгкость массовой рассылки и высокая вероятность того, что пользователь откроет архив.

Для эффективной защиты необходимо сочетать технические средства (антивирус, шлюзы, DLP) с
постоянным обучением персонала и чёткими процедурами реагирования. Помните, что самый надёжный
способ избежать заражения – не открывать подозрительные архивы и проверять их в антивирусе
до выполнения любого кода.

Статья подготовлена на основе открытых источников: CNews, Касперский, Securelist, VirusInfo,
блоги экспертов по информационной безопасности и форумы пользователей.