Безопасность
Опасные расширения файлов: что нельзя открывать без проверки
Список опасных расширений файлов, таблица риска и проверка вложения перед открытием — какие расширения файлов опасны и почему.
Что такое двойное расширение файла и как оно обманывает
Двойное расширение — это имя файла с более чем одной точкой перед расширением, например «invoice.docx.exe» или «photo.jpg.exe». Операционная система определяет настоящий тип файла и программу для его открытия по последнему фрагменту после точки — то есть по «.exe» — а всё, что стоит перед ним, система воспринимает как обычную часть имени, а не как метаданные о формате. Пользователь же видит не полное имя, а только то, что ему показывает проводник или Finder.
Если показ расширений в системе отключён — а по умолчанию он отключён и в Windows, и в macOS, — «invoice.docx.exe» отображается как просто «invoice.docx», да ещё и с иконкой документа Word. Двойной клик при этом запускает не Word, а исполняемый файл: вредоносную программу, замаскированную под счёт, фотографию или отчёт. Никакого взлома системы для этого не нужно — приём эксплуатирует не уязвимость кода, а ожидания пользователя и настройку интерфейса по умолчанию.
!
Двойное расширение — не редкость, а рабочий инструмент фишинга
Технику invoice.docx.exe, report.pdf.exe и photo.jpg.exe в рассылках с вредоносными вложениями описывает блог «Лаборатории Касперского» — именно эти три имени чаще всего встречаются в фишинговых письмах.
Почему Windows и macOS скрывают расширения файлов по умолчанию
Это не ошибка и не «дыра» в безопасности — а осознанное решение разработчиков обеих систем, принятое десятилетия назад ради упрощения интерфейса для массового пользователя. Среднему пользователю расширение казалось лишним техническим мусором: зачем видеть «.docx», если и так понятно, что это документ Word по иконке.
По данным официальной справки Microsoft, Windows по умолчанию скрывает расширения для известных системе типов файлов — это поведение сохраняется и в Windows 10, и в Windows 11. То же самое верно для macOS: согласно официальной справке Apple, расширения файлов в Finder по умолчанию тоже скрыты. Проблема в том, что это же удобство для рядового пользователя стало удобством и для злоумышленника: пользователь ориентируется на иконку и видимую часть имени, не подозревая, что реальное расширение спрятано.
Как распознать файл с двойным расширением
Даже если показ расширений ещё не включён, у двойного расширения есть заметные признаки — нужно просто знать, куда смотреть.
- Посчитайте точки в имени файла. Одна точка перед расширением — норма («фото.jpg»). Две и больше — повод присмотреться («фото.jpg.exe», «счёт.docx.scr»).
- Сверьте иконку с заявленным типом. Если имя заканчивается на «.docx», а иконка не похожа на документ Word (или вовсе похожа на «шестерёнку» generic-приложения) — это сигнал тревоги.
- Обратите внимание на предупреждение при скачивании. Браузеры и почтовые клиенты часто помечают исполняемые вложения отдельным значком или предупреждающей плашкой — не игнорируйте её, даже если имя файла выглядит безобидно.
- Проверьте, не «уехало» ли настоящее расширение за край видимой области. Очень длинные имена файлов в списках с ограниченной шириной колонки иногда обрезают строку так, что реальное «.exe» в конце остаётся не видно без наведения курсора.
Самый надёжный способ — не гадать по иконке, а включить отображение полного имени файла в системе: разберём это в разделах про Windows и macOS ниже.
Какие расширения чаще всего маскируют под безопасные
Злоумышленники не выдумывают новый формат — они используют обычные исполняемые расширения, подставляя перед ними «безопасное» название. В таблице — какие расширения чаще всего оказываются вторым, скрытым слоем двойного имени.
| Опасное расширение | Как выглядит в атаке | Пример маскировки |
|---|---|---|
| .exe | Исполняемая программа, запускается сразу двойным кликом | invoice.docx.exe |
| .scr | «Заставка» Windows — технически тот же исполняемый файл | photo.jpg.scr |
| .js | Скрипт, выполняется движком Windows Script Host без запроса подтверждения | report.pdf.js |
| .vbs | Скрипт VBScript, может скачивать и запускать другие программы | contract.docx.vbs |
| .bat | Командный файл, выполняет последовательность команд в системе | photo.jpg.bat |
| .lnk | Ярлык, который на деле запускает вредоносную команду | document.pdf.lnk |
Такое вложение почти всегда маскируется под документ или фото — то есть под тип файла, который жертва открывает не раздумывая и без опаски.
Как включить показ расширений файлов в Windows 10/11
Это одна настройка, которая сразу и навсегда снимает основную опасность двойного расширения — после неё «invoice.docx.exe» отображается в проводнике именно так, а не как «invoice.docx».
- Windows 11: откройте «Проводник» → в верхней панели нажмите «Вид» → «Показать» → поставьте галочку напротив «Расширения имён файлов».
- Windows 10: откройте «Проводник» → на ленте перейдите на вкладку «Вид» → в группе параметров поставьте галочку «Расширения имён файлов».
- Готово: теперь у каждого файла в проводнике видно полное имя, включая скрытый «хвост» вроде .exe после .docx.
Этот путь меню подтверждён официальной справкой Microsoft и не меняется между обновлениями Windows 10 и 11 — отличается только расположение пункта на ленте.
Как показать расширения файлов в macOS Finder
В macOS та же проблема решается похожим образом — через настройки Finder, а не через саму программу-просмотрщик.
- Откройте Finder и нажмите Cmd+, (или в строке меню: Finder → «Настройки»).
- Перейдите на вкладку «Дополнительно».
- Поставьте галочку напротив «Показывать все расширения имён файлов».
Путь подтверждён официальной справкой Apple. После этого шага Finder больше не прячет вторую часть двойного расширения — подделка вроде «photo.jpg.app» становится видна сразу в списке файлов.
Разница между расширением файла и программой по умолчанию
💡
Это две разные вещи
Расширение файла — часть его имени, которая определяет формат содержимого (что внутри). Программа по умолчанию — это то, какое приложение система запускает при двойном клике по файлу этого расширения. Можно назначить любой программе открывать .exe-файлы — но тип содержимого файла от этого не изменится: он остаётся исполняемым кодом независимо от того, какое приложение система пытается для него подобрать.
Отсюда частое заблуждение: «я поменял программу по умолчанию для этого файла — значит, он теперь безопасен». Нет — смена программы по умолчанию не трогает содержимое файла и не меняет его реальный тип, она лишь переопределяет, чем система попытается его открыть.
Что делать, если вы уже открыли подозрительный файл
Если по файлу с двойным расширением уже кликнули и подозреваете, что запустилась вредоносная программа, — важна скорость реакции.
- Отключите сеть. Выключите Wi-Fi или выдерните сетевой кабель — большинству вредоносных программ нужна связь с сервером злоумышленника, чтобы передать данные или получить команды.
- Не вводите пароли ни на одном сайте с заражённого устройства. Если нужно срочно сменить пароль к почте или банку, делайте это с другого устройства — телефона или другого компьютера.
- Запустите полное сканирование антивирусом. Не быстрое, а именно полное (full scan) — оно проверяет весь диск, а не только системные папки.
- Проверьте файл дополнительно. Если нужна вторая проверка независимым инструментом — загляните в гайд как проверить файл на вирусы, там разобраны конкретные онлайн-сервисы и настольные антивирусы.
- Проверьте бэкапы. Убедитесь, что резервная копия важных файлов сделана до запуска подозрительного вложения и хранится отдельно — на внешнем диске или в облаке.
⚠
Не полагайтесь на иконку задним числом
Если после запуска файл всё ещё выглядит как документ или фото — это ничего не доказывает. Вредоносные программы нередко дополнительно открывают настоящий документ-приманку поверх, пока в фоне выполняется основной код.
Windows и macOS: где смотреть расширения
| Параметр | Windows 10/11 | macOS Finder |
|---|---|---|
| Расширения по умолчанию | Скрыты | Скрыты |
| Где включить показ | Проводник → «Вид» → «Расширения имён файлов» | Finder → Настройки (Cmd+,) → «Дополнительно» |
| Что видно после включения | Полное имя файла, включая второй «хвост» после точки | Полное имя файла, включая второй «хвост» после точки |
| Нужно ли включать заново после обновления ОС | Нет, настройка сохраняется | Нет, настройка сохраняется |
Частые вопросы
Можно ли переименовать .exe в .jpg, чтобы он стал безопасным?
Нет. Переименование меняет только отображаемое имя файла, но не его содержимое — исполняемый код внутри останется прежним. Если расширение действительно сменить на .jpg (не добавить перед настоящим .exe, а именно заменить), файл просто перестанет запускаться как программа, но и открыться как фото тоже не сможет.
Почему антивирус иногда не ловит файл с двойным расширением?
Антивирус реагирует на поведение и сигнатуры кода, а не на само имя файла — двойное расширение это лишь приём социальной инженерии для человека, а не для защитного софта. Если вредоносный код новый или хорошо замаскирован, антивирус может не распознать угрозу в первые часы после появления, независимо от того, как называется файл.
Безопасно ли открывать файл, если его значок соответствует заявленному типу?
Не обязательно. Иконка — это тоже метаданные, которые может подделать вредоносная программа, в том числе встроив в себя иконку документа или фотографии. Совпадение иконки с ожидаемым типом снижает, но не снимает риск — надёжнее проверить реальное расширение после его показа в проводнике или Finder.
Как проверить настоящий тип файла без запуска?
Включите показ расширений (разделы выше про Windows и macOS) и посмотрите на полное имя файла — реальный тип всегда определяется последним фрагментом после точки. Открывать или запускать файл для этого не требуется.
Нужно ли включать показ расширений на телефоне?
Мобильные файловые менеджеры на Android и iOS по умолчанию ведут себя иначе, чем настольные ОС, и приём с двойным расширением там распространён меньше — но вложения, которые вы получаете на телефон и потом открываете на компьютере, всё равно стоит проверять уже в Windows или macOS с включённым показом расширений.
Что делать, если письмо с таким файлом пришло от знакомого адреса?
Не доверять адресу отправителя автоматически — его легко подделать, а аккаунт знакомого человека могли взломать и разослать вредоносные вложения с него без его ведома. Прежде чем открывать вложение, свяжитесь с отправителем по другому каналу связи (не ответом на то же письмо) и уточните, действительно ли он его отправлял.
