Файл называется setup.exe: как проверить установщик до первого запуска
В папке Загрузки лежат три файла setup.exe. Один пришел с официального сайта, второй - из рекламного объявления над результатами поиска, третий переслал знакомый. Имена и значки одинаковы, размер отличается на несколько килобайт. Запускать каждый по очереди, надеясь на предупреждение антивируса, - плохой способ установить происхождение.
Проверка строится цепочкой: адрес загрузки, защищенное соединение, опубликованный хеш, цифровая подпись, имя издателя, репутация и поведение после запуска. Ни один признак не является абсолютной гарантией, но их расхождение позволяет остановиться до выполнения кода.
Источник начинается раньше кнопки Скачать
Введите адрес проекта вручную или найдите ссылку из официальной документации. Рекламный блок в поиске способен вести на похожий домен. Проверьте написание имени, поддомен и конечный адрес после перенаправлений. Значок HTTPS защищает соединение с выбранным сайтом, но не подтверждает честность самого владельца.
Если проект распространяется через магазин или репозиторий пакетов, откройте ссылку на него с официального сайта. Не ищите отдельный установщик по названию в файловых каталогах, когда поставщик такого канала не указывает.
Сохраните страницу выпуска, номер версии и дату. Файл без контекста через месяц снова станет неизвестным setup.exe.
Хеш отвечает на один точный вопрос
Контрольная сумма SHA-256 позволяет проверить, совпадают ли полученные байты с эталоном. Она не говорит, безопасна ли программа. Если злоумышленник заменил и файл, и хеш на одной странице, значения прекрасно совпадут.
Эталон полезнее, когда опубликован через независимый канал: подписанный файл контрольных сумм, официальный репозиторий выпуска или документацию на другом домене. Сравнивайте всю строку, а не первые шесть символов.
На Windows хеш можно получить штатной командой certutil или PowerShell Get-FileHash; на других системах есть sha256sum и аналоги. Используйте инструмент из доверенной системы, а не новый калькулятор, скачанный рядом с подозрительным файлом.
Цифровая подпись связывает файл с издателем
Подпись исполняемого файла позволяет системе проверить, менялось ли подписанное содержимое и ведет ли цепочка сертификатов к доверенному центру. Откройте свойства файла, найдите вкладку цифровых подписей, выберите запись и посмотрите результат проверки и имя подписанта.
Наличие любой подписи недостаточно. Имя издателя должно соответствовать проекту, сертификат - быть действительным для цели подписи, а проверка цепочки и отзыва - завершаться без ошибки. Похожие названия компаний требуют сверки с официальными реквизитами.
Microsoft Sysinternals выпускает Sigcheck, который показывает версию, временные сведения, хеши, детали подписи и цепочку сертификатов. Актуальная версия 2.91 опубликована 4 февраля 2026 года. Инструмент удобен для проверки каталога, но его самого нужно получать с Microsoft.
Подпись проекта открытого кода может быть отдельной
Не каждый официальный выпуск имеет Authenticode или подпись внутри файла. Linux-проекты часто публикуют отдельный файл подписи, который проверяется GnuPG. Для этого нужен надежно полученный открытый ключ и подтвержденный отпечаток.
Команда проверки отвечает, соответствует ли подпись файлу и ключу. Она не сообщает, кому принадлежит ключ, если пользователь импортировал его с первого попавшегося сайта. Сверяйте полный fingerprint по официальной документации и, когда возможно, по нескольким каналам.
Старый алгоритм или просроченный ключ требует чтения политики проекта. Не игнорируйте предупреждение автоматически и не объявляйте любой исторический релиз вредоносным только из-за возраста подписи.
Репутационный сервис - дополнительный сигнал
Sigcheck умеет запрашивать VirusTotal по хешу и при отдельном согласии загружать неизвестные файлы. Здесь есть важное ограничение: частный корпоративный установщик, документ или программа с секретами не должны уходить во внешний сервис без разрешения.
Нулевая детекция не гарантирует безопасность новой угрозы, единичное срабатывание не всегда доказывает заражение. Смотрите названия детектов, дату анализа, распространенность подписи и поведение. Решение принимает специалист или владелец системы, а не простая сумма красных строк.
Первый запуск готовят заранее
Создайте точку восстановления или проверенную копию важных данных, закройте работу и убедитесь, что установщик действительно нужен. Для неизвестного продукта используйте отдельную тестовую виртуальную машину или изолированное устройство, если лицензия и условия это допускают.
Не запускайте обычный установщик от администратора только потому, что так советует случайная инструкция. Повышайте права, когда это требуется понятной функции. Читайте диалоги: дополнительный браузер, изменение поиска и автозагрузка часто прячутся за рекомендуемой установкой.
После установки проверьте список программ, автозапуск, расширения браузера, новые службы и сетевую активность. Сравните с описанными функциями. Не удаляйте журнал и исходный файл до завершения проверки.
Короткий протокол
- Получить ссылку с официальной страницы проекта.
- Записать версию, конечный URL и дату.
- Сравнить SHA-256 с независимо опубликованным эталоном, если он есть.
- Проверить подпись и точное имя издателя.
- Оценить репутацию без отправки конфиденциального файла.
- Запустить с минимальными правами в подготовленной среде.
- Проверить, что изменилось в системе.
Если проект не публикует хеш и подпись, это не автоматическое доказательство вреда, но уровень уверенности ниже. Для критичного компьютера разумно запросить подтверждение у поставщика или выбрать распространение через доверенный магазин.
Безопасный установщик определяется не красивым именем и не одним зеленым значком. Источник сообщает, откуда он взялся, хеш подтверждает байты, подпись связывает их с издателем, а наблюдение проверяет заявленное поведение. Когда одно звено противоречит остальным, запуск откладывают, а не объясняют ошибку удобной догадкой.
