Запрет неконтролируемого открытия самораспаковывающихся архивов и исполняемых файлов

Обновлено: 04.07.2024

Запрет на запуск исполняемых файлов
Подскажите статью как через гпо обычным пользователям (не админам) запретить запуск любых.

Запуск exe из архива
Люди помогите пожалуйста. У меня есть архив где находиться текстовый документ (примитивная база.

Bat на запуск SFX архива
Доброго времени суток. Прошу помощи. Не получается батником запустить sfx архив. При запуске bat.

В winrar
Параметры - Установки - Безопасность - Запрещённые типы файлов Persk, попробовал, но они открываются заразы. и извлекаются запросто. Написал в поддержку винрара посмотрим что ответят. Может там какие то условия особые ему нужны? пробовал на триальной оф версии под вин7 и хр зис из зе невозможно, и архиватор тут совсем ни при чем. magirus, почему не возможно? и как быть? что теперь блочить юзерам пользование архивами и на каждый архив ходить самому проверять? Так шизнешься. magirus, борюсь со всем известными вирусами шифровальщиками. Через ГП заблочил расширения все какие в инете нашел. Но вот как оказалось спокойно открываешь архив с этим чудом и оно запустится. Вот теперь голову ломаю как запретить запуск файлов из архива чтобы только если вынуть запустить можно было. (как итог если из архива вынут то ГП среагирует и не даст запустить) борюсь со всем известными вирусами шифровальщиками. война с мельницами.
на стороне почтовика удалять вложения с архивами. оставить pdf, doc (docx) xls (xlsx) magirus, иначе никак? А удалять ссылки почтовик к сожалению не умеет. эх а счастье было так близко. Persk, а у вас какая версия и какая винда? все стоит точно так же и запускается.

Persk, спасибо попробую на 3.50 может поможет. правда у меня 7х64 ultimate

Добавлено через 17 часов 15 минут
Persk, хз что я делаю не так, но у меня открывается. хоть и галка стоит и прописаны расширения. попробую на хр и на виртуалке мб в винде дело.

так если на одной какой то винде не работает - уже половина смысла теряется. magirus, это да. но я хз что ему может мешать это выполнять. очень подозреваю разрядность ОС Всем спасибо. Все получилось работает на всех ОС. Дело было в моем рукопопии. Я думал он все эксешники и тд будет фильтровать, а он именно только те что в архивах. Все ок работает.

Запуск WinRar архива под паролем (аргументы)
Как сделать запуск SFX архива data.exe с паролем 44332211, пробовал такой код: .

Содержание файлов архива
Имеется некий архив name.tar.gz. Подскажите какой командой можно вывести содержимое файлов архива.

Извлечение файлов из архива
Вобщем есть кнопочка, при нажатии которой, извлекается файл в нужной мне директории. Как сделать.

Распаковка файлов из архива
Есть удаленный сервер, на нем лежат 100 метровые архивы, в архивах 100500 мелких файлов Пробую так.

Распаковка архива с заменой файлов
Здравствуйте мне нужно распаковать zip заменой файлов, я делал так: .

Извлечение файлов из архива ZIP
В общем не получается нормально работать с zip файлами. Хотел работать стандартными средствами.

В этом разделе содержится информация о параметрах, которые вы можете указать для задачи Защита от файловых угроз.

Описаны все доступные значения и значения по умолчанию для каждого параметра.

Включение или отключение проверки архивов (включая самораспаковывающиеся архивы SFX). Kaspersky Endpoint Security обнаруживает угрозы в архивах, но не лечит их. Поддерживаются следующие типы архивов: .zip; .7z*; .7-z; .rar; .iso; .cab; .jar; .bz;.bz2; .tbz; .tbz2; .gz; .tgz; .arj.

Yes – проверять архивы; Если указано значение FirstAction=Recommended , программа удаляет архив, содержащий угрозу.

No – не проверять архивы.

Значение по умолчанию: No

Включение или отключение проверки только самораспаковывающихся архивов (архивов, имеющих в своем составе исполняемый модуль-распаковщик, self-extracting archives).

Yes – проверять самораспаковывающиеся архивы;

No – не проверять самораспаковывающиеся архивы.

Значение по умолчанию: No

Включение или отключение проверки почтовых баз приложений Microsoft Outlook®, Outlook Express, The Bat и других.

Yes – проверять файлы почтовых баз;

No – не проверять файлы почтовых баз.

Значение по умолчанию: No

Максимальный размер проверяемого архива (в мегабайтах).

Если архив больше указанного значения, программа пропускает его при проверке.

0 – Kaspersky Endpoint Security проверяет архивы любого размера.

Значение по умолчанию: 0

Продолжительность проверки отдельного архива (в секундах).

Программа пропускает архивы, проверка которых выполняется дольше указанного времени.

0 – продолжительность проверки архивов не ограничена.

Значение по умолчанию: 60

Выбор первого действия Kaspersky Endpoint Security над зараженными объектами.

В задаче Защита от файловых угроз, перед тем как выполнить над объектом выбранное вами действие, Kaspersky Endpoint Security блокирует доступ к этому объекту для программ, которые к нему обращаются.

Disinfect (лечить) – Kaspersky Endpoint Security пытается вылечить объект, сохранив копию объекта в хранилище. Если лечение невозможно (например, тип объекта или тип угрозы в объекте не предполагает лечения), Kaspersky Endpoint Security оставляет объект неизменным. Если первым действием выбрано Disinfect , рекомендуется задать второе действие в параметре SecondAction .

Remove (удалять) – Kaspersky Endpoint Security удаляет зараженный объект, предварительно создав его резервную копию.

Recommended (выполнять рекомендованное действие) – Kaspersky Endpoint Security автоматически выбирает и выполняет действие над объектом на основе данных об обнаруженной в объекте угрозе. Например, Kaspersky Endpoint Security сразу удаляет троянские программы, так как они не заражают другие файлы и поэтому не предполагают лечения.

Block (блокировать) – Kaspersky Endpoint Security блокирует доступ к зараженному объекту. Информация о зараженном объекте сохраняется в журнале.

Значение по умолчанию: Recommended

Выбор второго действия Kaspersky Endpoint Security над зараженными объектами. Kaspersky Endpoint Security выполняет второе действие, если не удалось выполнить первое действие.

Значения параметра SecondAction такие же, как значения параметра FirstAction .

Если в качестве первого действия выбрано Block (блокировать) или Remove (удалять), то второе действие указывать не нужно. В остальных случаях рекомендуется указывать два действия. Если вы не указали второе действие, Kaspersky Endpoint Security в качестве второго действия применяет Block (блокировать).

Значение по умолчанию: Block

Включает или отключает исключение из проверки объектов, указанных параметром ExcludeMasks .

Yes – исключать объекты, указанные параметром ExcludeMasks .

No – не исключать объекты, указанные параметром ExcludeMasks .

Значение по умолчанию: No

Исключает из проверки объекты по именам или маскам. C помощью этого параметра вы можете исключать из указанной области проверки отдельный файл по имени или несколько файлов, используя маски в формате командной оболочки.

Значение по умолчанию не задано.

Включает или отключает исключение из проверки объектов с угрозами, указанными параметром ExcludeThreats .

Yes – исключать из проверки объекты, которые содержат угрозы, указанные параметром ExcludeThreats ;

No – не исключать из проверки объекты, которые содержат угрозы, указанные параметром ExcludeThreats .

Значение по умолчанию: No

Исключает из проверки объекты по названиям обнаруженных в объектах угроз. Перед тем как указать значения этого параметра, убедитесь, что включен параметр UseExcludeThreats .

Чтобы исключить из проверки один объект, укажите полное название угрозы, обнаруженной в этом объекте, – строку-заключение Kaspersky Endpoint Security о том, что объект является зараженным.

Например, вы используете одну из утилит для получения информации о сети. Для того чтобы Kaspersky Endpoint Security не блокировал ее, добавьте полное название угрозы в ней в список угроз, исключаемых из проверки.

Вы можете найти полное название угрозы, обнаруженной в объекте, в журнале Kaspersky Endpoint Security. Вы также можете найти полное название угрозы на веб-сайте Вирусной энциклопедии. Чтобы найти название угрозы, введите название программы в поле Поиск.

Значение параметра чувствительно к регистру.

Значение по умолчанию не задано.

Включает или отключает запись в журнал информации о проверенных объектах, которые Kaspersky Endpoint Security признал незараженными.

Вы можете включить этот параметр, например, чтобы убедиться в том, что какой-либо объект был проверен Kaspersky Endpoint Security.

Yes – записывать в журнал информацию о незараженных объектах;

No – не записывать в журнал информацию о незараженных объектах.

Значение по умолчанию: No

Включает или отключает запись в журнал информации о проверенных объектах, которые являются частью составных объектов.

Вы можете включить этот параметр, например, чтобы убедиться в том, что какой-либо объект в составе архива был проверен Kaspersky Endpoint Security.

Yes – записывать в журнал информацию о проверке объектов в составе архивов;

No – не записывать в журнал информацию о проверке объектов в составе архивов.

Значение по умолчанию: No

Включает или отключает запись в журнал информации о непроверенных объектах.

Yes – записывать в журнал информацию о непроверенных объектах;

No – не записывать в журнал информацию о непроверенных объектах.

Значение по умолчанию: No

Включает или отключает эвристический анализатор.

Эвристический анализ позволяет программе распознавать угрозы еще до того, как они станут известны вирусным аналитикам.

Yes – включить эвристический анализатор;

No – отключить эвристический анализатор.

Значение по умолчанию: Yes

Уровень эвристического анализа.

Вы можете задать уровень эвристического анализа. Уровень эвристического анализа обеспечивает баланс между тщательностью поиска угроз, степенью загрузки ресурсов операционной системы и длительностью проверки. Чем выше установленный уровень эвристического анализа, тем больше ресурсов потребует проверка и больше времени займет.

Light – наименее тщательная проверка, минимальная загрузка системы.

Medium – средний уровень эвристического анализа, сбалансированная загрузка системы;

Deep – наиболее тщательная проверка, максимальная загрузка системы;

Recommended – рекомендуемое значение.

Значение по умолчанию: Recommended

Включает или отключает использование технологии iChecker.

Yes – включить использование технологии iChecker;

No – отключить использование технологии iChecker.

Значение по умолчанию: Yes

С помощью этого параметра можно указать режим задачи Защита от файловых угроз. Параметр ScanByAccessType применяется только в задаче Защита от файловых угроз.

SmartCheck – проверять файл при попытке открытия, и проверять его повторно при попытке закрытия, если файл был изменен. Если процесс во время своей работы многократно обращается к файлу в течение некоторого времени и изменяет его, повторно проверять файл только при последней попытке закрытия файла этим процессом.

OpenAndModify – проверять файл при попытке открытия и проверять его повторно при попытке закрытия, если файл был изменен.

Open – проверять файл при попытке открытия как на чтение, так и на выполнение или изменение.

Значение по умолчанию: SmartCheck

Описание области проверки; содержит дополнительную информацию об области проверки. Максимальная длина строки, задаваемой этим параметром: 4096 символов.

Значение по умолчанию: All objects

AreaDesc="Scan mail databases"

Этот параметр включает или отключает проверку указанной области. Для выполнения задачи необходимо включить проверку хотя бы одной области.

Yes – проверять указанную область;

No – не проверять указанную область.

Значение по умолчанию: Yes

С помощью этого параметра вы можете ограничивать область проверки.

В области проверки Kaspersky Endpoint Security проверяет только файлы, указанные помощью масок в формате командной оболочки.

Если параметр не указан, Kaspersky Endpoint Security проверяет все объекты в области проверки. Вы можете указать несколько значений этого параметра.

Значение по умолчанию: * (проверять все объекты)

С помощью этого параметра вы можете указать путь к проверяемым объектам.

Значение параметра Path состоит из двух элементов: <тип файловой системы>:<протокол доступа> . Также он может содержать путь к директории в локальной файловой системе.

<путь к локальной директории> – проверять объекты в указанной директории;

Shared:NFS – проверять ресурсы файловой системы компьютера, предоставленные для доступа по протоколу NFS;

Shared:SMB – проверять ресурсы файловой системы компьютера, предоставленные для доступа по протоколу SMB;

AllRemoteMounted – проверять все удаленные директории, смонтированные на компьютере с помощью протоколов SMB и NFS;

AllShared – проверять все ресурсы файловой системы компьютера, предоставленные для доступа по протоколам SMB и NFS.

Описание области исключения из проверки. Содержит дополнительную информацию об области исключения.

Значение по умолчанию не задано.

AreaDesc="Exclude separate SAMBA"

Включает или выключает проверку указанной области.

Yes – исключать указанную область;

No – не исключать указанную область.

Значение по умолчанию: Yes

С помощью этого параметра вы можете указать путь к исключаемым объектам.

<путь к локальной директории> – исключать из проверки объекты в указанной директории; Для указания пути можно использовать маски.

Можно использовать символ * (звездочка) для формирования маски для имени файла или директории. Один символ * можно указать вместо любого набора символов (включая пустой набор), предшествующего символу / в имени файла или директории. Например, /dir/*/file или /dir/*/*/file.

Два последовательно идущих символа * можно указать вместо любого набора символов (включая пустой набор) в имени файла или директории, включающего символ /. Например, /dir/**/file*/ или /dir/file**/.

Маску ** можно использовать в имени директории только один раз. Например, /dir/**/**/file – это неправильная маска.

Shared:NFS – исключать из проверки ресурсы файловой системы компьютера, предоставленные для доступа по протоколу NFS;

Shared:SMB – исключать из проверки ресурсы файловой системы компьютера, предоставленные для доступа по протоколу Samba;

AllRemoteMounted – исключать из проверки все удаленные директории, смонтированные на компьютере с помощью протоколов SMB и NFS;

AllShared – исключать из проверки все ресурсы файловой системы компьютера, предоставленные для доступа по протоколам SMB и NFS.

В данной статье мы рассмотрим вопрос дополнительной защиты с использованием групповой политики Windows. Одна из небольшого списка полезных возможностей операционной системы Windows — запрет запуска исполняемых файлов вредоносных и потенциально опасных программ.

Как настроить запрет запуска исполняемых файлов из каталога?

Рассмотрим более надежный и удобный вариант запрета запуска исполняемых файлов.

Открываем настройку Групповой политики Windows. Для этого запускаем Run (Пуск-Выполнить). Вводим gpedit.msc и нажимаем ОК.

В открывшемся окне переходим в раздел Конфигурация компьютера — Конфигурация Windows — Параметры безопасности — Политики ограниченного использования программ — Дополнительные правила.

Если у вас отсутствует папка «Дополнительные правила», то необходимо нажать на Политики ограниченного использования программ правой кнопкой мыши и нажать на «Создать политики ограниченного использования программ». Затем переходите в папку «Дополнительные правила».

В данной папке нажимаем правой кнопкой — «Создание правила для пути».

Нам необходимо создать правило, запрещающее запуск исполняемых файлов с расширением *.ехе из каталога %AppData%.

В поле путь прописываем «%appdata%\*.exe», уровень безопасности «Запрещено», описание на ваше усмотрение.

Данным правилом мы запретили запуск *.exe только в папке %appdata%, но в данной папке есть много различных подпапок, в которых тоже необходимо запретить выполнение данных файлов. Поэтому создаем еще одно правило для подпапок. Для этого делаем все тоже самое, но путь указываем «%appdata%\*\*.exe».

Но этого не достаточно для безопасности. Вредоносные программы могут запускаться из других мест. Наиболее популярные места хранения вредоносных программ рассмотрим ниже.

Какие пути можно прописать для запрета запуска исполняемых файлов?

%LocalAppData%\*.exe — Запрет запуска файлов из %LocalAppData%.

%LocalAppData%\*\*.exe — Запрет файлов запуска из вложенных каталогов %LocalAppData%.

%LocalAppData%\Temp\Rar*\*.exe — Запрет запуска exe файлов из архивов, открытых с помощью WinRAR.

%LocalAppData%\Temp\7z*\*.exe — Запрет запуска exe файлов из архивов, открытых с помощью 7zip.

%LocalAppData%\Temp\wz*\*.exe — Запрет запуска exe файлов из архивов, открытых с помощью WinZip.

%LocalAppData%\Temp\.zip*\*.exe — Запрет запуска exe файлов из архивов, открытых с помощью встроенного архиватора Windows.

%Temp%\*.exe — Запрет запуска exe файлов из каталога %temp%.

%Temp%\*\*.exe — Запрет запуска exe файлов из вложенных каталогов %temp%.

После создания правил необходимо применить их. Правила начнут действовать после перезагрузки компьютера, либо после выполнения команды «gpupdate /force» в командной строке.

PS: имейте ввиду, что недостаточно заблокировать файлы только с расширением .exe. Вирусы могут быть и с другими расширениями, например, *.bat,*.vbs, *.js, *.wsh и т.п.

И помните, что у вас могут возникнуть проблемы с установкой и обновлением легальных программ, т.к. многие используют заблокированные выше пути для своих файлов с расширением .exe и т.п.

Для управления программой вы можете использовать политику для одного кластера KSC и политику для всех кластеров KSC:

Политика для одного кластера KSC создается в группе администрирования, содержащей кластер KSC, и применяется на всех SVM этого кластера KSC. Политика определяет параметры защиты всех виртуальных машин в составе защищаемой инфраструктуры этого кластера KSC, то есть всех виртуальных машин под управлением сервера VMware vCenter, соответствующего кластеру KSC.
Политика для всех кластеров KSC создается в группе администрирования Управляемые устройства и применяется на всех SVM всех кластеров KSC. Политика определяет параметры защиты всех виртуальных машин в составе защищаемой инфраструктуры всех кластеров KSC, то есть всех виртуальных машин под управлением всех серверов VMware vCenter.

Параметры защиты виртуальных машин в политике определяются профилем защиты (далее также "профиль"). Во время создания политики формируется основной профиль защиты.

В политике для всех кластеров KSC основной профиль по умолчанию не назначается никакому объекту.

Основной профиль защиты недоступен для удаления, однако вы можете изменять значения параметров основного профиля.

После создания политики вы можете создать дополнительные профили защиты. Благодаря дополнительным профилям защиты вы можете гибко настроить разные параметры защиты для разных виртуальных машин.

Политика может включать один основной и несколько дополнительных профилей защиты. Профиль защиты назначается объектам управления VMware в составе защищаемой инфраструктуры кластера KSC. Одному объекту управления VMware может быть назначен только один профиль защиты (см. рис. ниже).

Kaspersky Security защищает виртуальную машину с теми параметрами, которые указаны в назначенном виртуальной машине профиле защиты.

В профиле защиты вы можете настроить следующие параметры:

Уровень безопасности. Вы можете выбрать один из предустановленных уровней безопасности ( Высокий , Рекомендуемый , Низкий ) или настроить уровень безопасности самостоятельно ( Пользовательский ). Уровень безопасности определяет следующие параметры проверки:
- проверка архивов, самораспаковывающихся архивов, вложенных OLE-объектов, составных файлов;
- ограничение проверки файлов по времени;
- список объектов для обнаружения.
В свойствах ранее созданной политики вы можете настроить следующие параметры работы программы:
- параметры обнаружения сетевых атак и подозрительной сетевой активности;
- параметры проверки веб-адресов;
- параметры резервного хранилища;
- параметры использования KSN.
Параметры и блоки параметров политики имеют атрибут "замок", который показывает, наложен ли запрет на изменение параметров в политиках вложенного уровня иерархии (для вложенных групп администрирования и подчиненных Серверов администрирования). Если в политике для параметра или блока параметров "замок" закрыт (), переопределить значение этих параметров в политиках вложенного уровня иерархии невозможно (см. в документации Kaspersky Security Center).

Kaspersky Security Center позволяет задавать сложную иерархию групп администрирования и политик (подробнее см. в документации Kaspersky Security Center). В программе Kaspersky Security каждая политика получает сведения о виртуальной инфраструктуре от Сервера интеграции, который подключается к определенному серверу VMware vCenter. Если вы используете сложную иерархию групп администрирования и политик, политика нижнего уровня наследует некорректные параметры получения сведений о виртуальной инфраструктуре. Поэтому во время настройки параметров Kaspersky Security рекомендуется не задавать сложную иерархию групп администрирования и политик, а создавать отдельную политику для группы администрирования, которая содержит кластер KSC.

Одной из серьезных существующих проблем в области развития и распространения информационных технологий является защита авторских прав на такие объекты интеллектуальной собственности как программное обеспечение, аудио-, видео- материалы и любую иную информацию, которая может быть представлена в электронном виде. Собственники такого рода объектов вынуждены прибегать к различным средствам защиты от копирования и несанкционированного распространения, которые зачастую обладают подчас большей стоимостью, чем сами объекты защиты.

Однако в некоторых случаях возникает задача коммерческого распространения цифрового контента, который обладает достаточно низкой стоимостью, и поэтому экономически нецелесообразно использовать дорогостоящие средства защиты. В связи с этой ситуацией на рынке интеллектуальной собственности сравнительно недавно появились доступные (фактически, бесплатные) для любого пользователя, в том числе, не обладающего какими-либо специальными навыками средства защиты контента, позволяющие извлекать прибыль от распространения объектов интеллектуальной собственности. Принцип работы подобных средств основан на создании самораспаковывающегося архива [1] (в дальнейшем СРА) (англ. self-extracting archive, сокращенно «SFX archive»), требующего для извлечения файлов соответствующую оплату и последующий ввод ключевого слова (кода). СРА создается с помощью специальной клиентской программы, использующий особенности формата исполняемых файлов [2] (по сути, стеганографическую вставку данных).
Родоначальником сервиса коммерческих СРА была программа от сервиса ZipCoin, и появилась она в 2009 году. Следующие за ней проекты подхватили идею и начали развивать это направление.

Общая информация о СРА

Функциональная схема сервиса коммерческих самораспаковывающихся архивов
1. Клиентская программа.
2. Веб-сервис для обслуживание партнеров.
3. База данных.
4. Платежный сервис.
5. Веб-каталог (файловое хранилище).
- предоставлять подробную информацию о правилах, действующих тарифах, особенностях системы
- обеспечивать регистрацию партнеров
- вести статистический учет количества обращений/покупок архивов, их стоимость
- обеспечивать клиентскую программу необходимыми данными для работы с архивами (информацией о партнере, архиве, ключевых словах и т.п.)
- обеспечивать администраторские функции, такие как добавление, редактирование, удаление, блокировку архивов и/или партнеров,
- обеспечивать выплату денежных средств за оплату архивов, учет расчетных операций.
Ниже, на рисунке 1, представлена типовая функциональная схема сервиса коммерческих СРА:

Рис.1 Функциональная схема сервиса коммерческих
- вознаграждение веб-сервиса в размере заявленной комиссии;
- комиссия платежному сервису;
- комиссия платежным системам;
- партнерское вознаграждение за цифровой контент.
Описание подхода к системе защиты цифрового контента в самораспаковывающихся архивах.

Самораспаковывающийся архив – это файл (компьютерная программа), объединяющий в себя архив и исполняемый код для его распаковки. Такие архивы в отличие от обычных не требуют отдельной программы для их распаковки (получения исходных файлов, из которых они созданы), если исполняемый код можно выполнить в указанной операционной системе.
Как правило, коммерческие СРА используют особенности PE формата [5] – формата исполняемых файлов, объектного кода и динамических библиотек, используемого в 32- и 64-битных версиях операционной системы Microsoft Windows, позволяющие встраивать данные в конец файла. Обобщенная структура PE-файла представленная на рисунке 2. Например, формат исполняемого EXE-файла позволяет дописывать абсолютно любые данные в конец файла программы, при этом программа будет работать как и прежде. Фактически, используются возможности компьютерной стеганографии и стеганографическое скрытие данных в формате исполняемого файла [6]. Эти возможности PE формата и используются некоторыми сервисами СРА.

Рис. 2 Обобщенный формат PE-файла

На рисунке 3 представлен возможный вариант компоновки СРА.

Рис. 3. Вариант компоновки СРА

Таким образом, технология работы СРА сводиться к следующим этапам:
1. Запуск программы и ввод учетных данных партнера для доступа с помощью клиентской программы к веб-сервису СРА.
2. Выбор необходимых файлов с указанием их параметров.
3. Упаковка выбранных в файлов в СРА.
3.1. Запись кода исходной программы в целевой файл СРА.
3.2. Запрос к веб-сервису об уникальных параметрах архива (идентификатор архива, ключевое слово).
3.3. Запись в СРА маркера начала заголовка встроенных данных после кода исходной программы.
3.4. Формирование и запись заголовка встроенных данных,.
3.5. Архивация цифрового контента.
3.6. Шифрование цифрового контента.
3.7. Запись полученных данных в целевой файл.

Читайте также: