أمان الأرشيفات: كيف تفتح ملفات ZIP وRAR و7z دون برامج خبيثة
الأرشيف لا يضرك وهو في مجلد التنزيلات. الخطر فيما بداخله وفيما تفعله بعد ذلك. يستخدم المحتالون ملفات ZIP وRAR و7z وISO لأنها تخفي نوع الملف الحقيقي، وتتسلل من فلاتر البريد، وتجعل الملفات الخطرة تبدو عادية. يشرح هذا الدليل هذه الحيل ويقدم قائمة فحص يمكنك تطبيقها فعلًا.
آخر تحديث 2026-10-13 · كتبه واختبره فريق تحرير UnpackNest (TECCONET)
لماذا تُستخدم الأرشيفات لنشر البرامج الخبيثة
- التمويه. الملف داخل الأرشيف لا يظهر حتى تفتحه، فلا تعرض الرسالة إلا
invoice.zipلا البرنامج الذي بداخله. - تجاوز الفلاتر. لا تستطيع بوابات البريد فحص الأرشيفات المشفرة، فيضع المحتال كلمة المرور في نص الرسالة.
- تجاوز التحذيرات. يضع ويندوز على الملفات المنزّلة علامة «Mark of the Web» التي تفعّل SmartScreen ووضع العرض المحمي في أوفيس. بعض أدوات الاستخراج لم تكن تنقل هذه العلامة إلى الملفات المستخرجة، وصور الأقراص (ISO وIMG) كانت تُسقطها تمامًا حتى أصلحت مايكروسوفت ذلك عام 2022.
- ثغرات أدوات الاستخراج. برامج الأرشفة القديمة أو غير المحدثة كانت فيها ثغرات أمنية، ومنها ثغرة في WinRAR أُصلحت عام 2023 (CVE-2023-38831) سمحت لأرشيفات مصممة بتشغيل شيفرة عندما يفتح المستخدم ما يبدو ملفًا بريئًا.
علامات الخطر في الرسالة
- لم تكن تتوقع الملف، أو المرسل مجهول.
- الاستعجال: فاتورة غير مدفوعة، شحنة متعثرة، إنذار قانوني، إعادة تعيين كلمة مرور.
- كلمة المرور في الرسالة نفسها التي فيها الأرشيف.
- الأرشيف صغير جدًا لكنه يدّعي احتواء مجموعة مستندات كبيرة.
- حساب زميل يرسل فجأة أرشيفًا برسالة مبهمة («انظر المرفق»).
علامات الخطر داخل الأرشيف
| ما تراه | سبب الشك |
|---|---|
invoice.pdf.exe أو photo.jpg.scr | امتداد مزدوج: الجزء الأخير هو النوع الحقيقي، وويندوز يخفي الامتدادات المعروفة افتراضيًا |
.exe و.scr و.com و.bat و.cmd و.ps1 و.vbs و.js و.hta و.msi | برامج وسكربتات تعمل بمجرد النقر المزدوج |
اختصارات .lnk | قد تشغّل أوامر وهي تبدو مستندًا |
.docm و.xlsm | ملفات أوفيس فيها وحدات ماكرو |
| ملف ISO أو IMG داخل ZIP | حاويات متداخلة صُممت لإخفاء الحمولة |
| ملف واحد فيه مسافات كثيرة قبل الامتداد | يدفع .exe خارج مجال الرؤية في الأعمدة الضيقة |
في ويندوز فعّل ملحقات أسماء الملفات (مستكشف الملفات > عرض > إظهار) لتظهر الأنواع الحقيقية.
ما الذي تحجبه أداة استخراج حريصة
بعض الأخطار في بنية الأرشيف لا في الملفات. هذه هي الفحوص التي تطبقها أدوات UnpackNest، وما ينبغي أن تتوقعه من أي أداة جيدة:
- اجتياز المسار (Zip Slip). عناصر بأسماء مثل
../../Startup/evil.exeتحاول الكتابة خارج المجلد الذي اخترته، ويحجبها UnpackNest. - المسارات المطلقة والروابط. العناصر التي تشير إلى
C:\Windows\…أو الروابط الرمزية قد تكتب فوق ملفات أو تكشفها. يعرضها UnpackNest لكنه لا يكتبها. - قنابل فك الضغط. بضعة كيلوبايتات تتمدد إلى بيتابايتات قد تجمّد الجهاز أو تملؤه. ترفض أداتا ZIP وTAR/GZ في UnpackNest العناصر ذات نسب الضغط المتطرفة وتفرضان حدودًا للحجم.
قائمة فحص قبل فتح أي أرشيف
- هل كنت تتوقعه؟ إن لم تكن كذلك فتأكد من المرسل عبر قناة أخرى، لا بالرد على الرسالة نفسها.
- انظر قبل أن تستخرج. اعرض المحتويات أولًا (أدوات UnpackNest تفعل ذلك دائمًا). وإن رأيت برامج أو اختصارات لم تتوقعها فتوقف.
- استخرج ما تحتاجه فقط. يمكنك استخراج ملف PDF واحد وترك البقية.
- حافظ على التحذير. استخدم أدوات تنقل علامة Mark of the Web؛ مستكشف الملفات يفعل ذلك، و7-Zip يستطيع (من Tools > Options > 7-Zip > Propagate Zone.Id stream). والملفات التي تحفظها من UnpackNest تنزيلات جديدة، فيضع عليها المتصفح علامة الملف المنزّل.
- افحص عند الشك. يفحص Microsoft Defender الملفات عند فتحها، ويمكنك أيضًا النقر بزر الفأرة الأيمن على ملف واختيار الفحص باستخدام Microsoft Defender.
- حدّث برامجك. حدّث أداة الاستخراج والمتصفح ونظام التشغيل، فأدوات الاستخراج القديمة خطر حقيقي.
- لا تضغط «تمكين المحتوى» في مستند من أرشيف لم تتوقعه أبدًا، فهذا الزر يشغّل وحدات الماكرو.
عن أدوات الفحص على الإنترنت
تفحص خدمات مثل VirusTotal الملف بعشرات محركات مكافحة الفيروسات، وهي مفيدة مع البرامج المشبوهة. لكن الرفع إليها يعني مشاركة الملف مع الخدمة، وغالبًا مع باحثين أمنيين. لا ترفع أبدًا مستندات خاصة أو عقودًا أو صورًا شخصية إلى أداة فحص عامة، وافحص هذه الملفات محليًا.
للشركات
- احجب المرفقات التنفيذية والأرشيفات المشفرة القادمة من مرسلين خارجيين في بوابة البريد، أو اعزلها للمراجعة.
- اضبط ويندوز ليعرض امتدادات الملفات دائمًا.
- علّم الموظفين أن كلمة المرور في الرسالة نفسها علامة خطر لا ميزة أمان.
أسئلة شائعة
هل يمكن أن يصيب فتح ملف ZIP جهازي؟
عرض محتويات ZIP في أداة محدثة آمن عمومًا. الإصابة تتطلب عادةً تشغيل شيء بداخله، والاستثناءات النادرة ثغرات في أدوات استخراج قديمة، ولهذا تهم التحديثات.
هل ملفات RAR أخطر من ZIP؟
لا. الخطر في المحتوى لا في الصيغة. لكن RAR و7z أكثر شيوعًا قليلًا عند المحتالين لأن بعض الفلاتر تتعامل معهما بشكل أضعف.
هل يحميني الاستخراج داخل المتصفح من البرامج الخبيثة؟
يحميك من الحيل البنيوية (المسارات غير الآمنة والروابط والقنابل) ويُبقي الأرشيف بعيدًا عن الخوادم. لكن برنامجًا خبيثًا تستخرجه ثم تشغّله يبقى خطرًا.
أدوات لهذه المهمة
- افتح ملفات ZIP واستخرجها داخل المتصفحStore وDeflate وZIP64، على جهازك.
- افتح ملفات RAR واستخرجها داخل المتصفحRAR4 وRAR5، على جهازك.
- افتح ملفات 7z والأجزاء المقسمة .7z.001LZMA/LZMA2 وAES-256 وأرشيفات متعددة الأجزاء.