MD5, SHA-1 und SHA-256 jeder Datei, mit fertigen Suchlinks für VirusTotal und MalwareBazaar.
Neu
Dateityp-Erkennung
Läuft lokalNeu
Das Tool selbst ist auf Englisch; auf dieser Seite wird es in Ihrer Sprache erklärt.
Dateityp-Erkennung verwenden
Was es bewirkt
Ziehen Sie eine Datei hierher, um zu sehen, was sie wirklich ist – beurteilt nach ihren Bytes statt nach ihrem Namen – und ob Name, Endung oder Inhalt das zu verbergen versuchen. Nichts wird hochgeladen oder geöffnet.
Es läuft vollständig in Ihrem Browser: Es werden keine Ihrer Eingaben hochgeladen.
So verwenden Sie Dateityp-Erkennung
- Datei geschlossen lassen. Speichern Sie den Anhang oder Download, ohne ihn zu öffnen.
- Dateien ablegen oder auswählen. Ziehen Sie eine oder mehrere Dateien auf das Feld, oder wählen Sie sie aus. Pro Vorgang werden bis zu 50 Dateien geprüft, jede in einer eigenen Karte.
- Typ und Endung vergleichen. Detected type, Kind und Extension erscheinen oben. Ein rotes „does not match“ bedeutet, dass der Name über den Inhalt täuscht.
- Markierungen und Details lesen. Die Felder Danger und Warning erklären jeden Tarntrick und jede riskante Eigenschaft. Darunter folgen die Signatur-Bytes, Archiveinträge, PDF-Schlüsselwörter und ein Hex-Dump der ersten Bytes.
- Den nächsten Schritt gehen. Folgen Sie dem vorgeschlagenen Tool, etwa File Hash Calculator für eine Suche bei VirusTotal, und ziehen Sie dieselbe Datei dorthin.
Beispiel
Anhang mit HTML Smuggling
Invoice_0425.pdf.html
<html><body><script>
var data = atob('UEsDBBQAAAAIAA==');
var blob = new Blob([data], {type: 'application/zip'});
var a = document.createElement('a');
a.href = URL.createObjectURL(blob);
a.download = 'Invoice_0425.zip';
a.click();
</script></body></html>Invoice_0425.pdf.html
254 B (254 bytes) · read 254 B
DETECTED TYPE
HTML document
KIND
web page text/html
EXTENSION
.html matches
.html fits HTML document.
Danger: HTML smuggling pattern: script decodes embedded data and offers it as a download (Blob/atob/msSaveOrOpenBlob).
Warning: Double extension: ".pdf" is decoration, the real extension is ".html" (a web page posing as a document, typical of phishing attachments).
Text encoding
UTF-8 or ASCII
Script and form hints
script element; atob() Base64 decoding; Blob construction; URL.createObjectURL(); forced download (download attribute)
FIRST 64 BYTES
0000 3C 68 74 6D 6C 3E 3C 62 6F 64 79 3E 3C 73 63 72 <html><body><scr
0010 69 70 74 3E 0A 76 61 72 20 64 61 74 61 20 3D 20 ipt>.var data =
0020 61 74 6F 62 28 27 55 45 73 44 42 42 51 41 41 41 atob('UEsDBBQAAA
0030 41 49 41 41 3D 3D 27 29 3B 0A 76 61 72 20 62 6C AIAA==');.var bl
Copy hex dump
Next: HTML Attachment Analyzer (inspect scripts, forms and embedded payloads); File Hash Calculator (hash the file for VirusTotal and MalwareBazaar lookups). Open it and drop the same file there.Die erste Zeile wird zum Dateinamen, der Rest zum Inhalt. Der Sniffer meldet ein HTML-Dokument, markiert die doppelte Endung .pdf.html und das Muster von HTML Smuggling (atob, Blob und ein erzwungener Download) und verweist auf den HTML Attachment Analyzer.
Was dabei geprüft wird
| Signal | Was das bedeutet |
|---|---|
| Erkannter Typ und Endung | Die Endung passt (matches), passt nicht (does not match), wird nicht geprüft oder fehlt. Eine Abweichung ist das Kernzeichen einer getarnten Datei. |
| Code, getarnt als Dokument oder Bild | Gefahr: Der Inhalt ist ein Programm, eine Verknüpfung oder ein Skript, während der Name eine harmlose Datei verspricht. Ein als .txt gespeichertes Skript erhält stattdessen eine Warnung. |
| Doppelte Endung | Ein Name wie statement.pdf.exe oder invoice.pdf.html: Die erste Endung ist nur Dekoration. |
| Right-to-Left Override und unsichtbare Zeichen | Unicode-Tricks, durch die ein Name eine falsche Endung anzeigt. Die echte Endung wird gemeldet. |
| Archivinhalt | Programme, Skripte, Verknüpfungen, HTML-Dateien und doppelte Endungen in einem ZIP, verschlüsselte Einträge und Zip-Slip-Pfade werden markiert, ohne etwas zu entpacken. |
| Office-Makros und -Objekte | VBA-Projekte, Excel-4.0-Makroblätter, eingebettete OLE-Objekte, Equation-Editor-Objekte und passwortgeschützte Dokumente. |
| PDF-Schlüsselwörter | JavaScript mit automatischer Öffnungsaktion, /Launch, eingebettete Dateien, Formularübermittlung und verschleierte Namen. |
| Verknüpfungen und Disk-Images | LNK-Dateien, die Kommandozeilen-Tools starten oder auf entfernte Orte verweisen, und ISO-, IMG- oder VHD-Images, mit denen Download-Warnungen umgangen werden. |
| HTML und SVG | Smuggling-Muster, Anmeldeformulare, die an andere Adressen senden, und Skripte im Markup. |
| Angehängtes ZIP | Ein Hinweis, wenn ein ZIP-Archiv am Ende einer anderen Datei steht: ein selbstentpackendes Archiv, ein Installer oder eine Polyglot-Datei, die in zwei Formaten gültig ist. |
Weitere Beispiele
Ein Programm in einem ZIP
Statement.zip containing one file, Statement.pdf.exeZIP archive, .zip passt. Zwei Gefahrenmarkierungen: Es enthält 1 ausführbare Datei, Skript- oder Verknüpfungsdatei (Statement.pdf.exe), und ein Eintragsname hat eine doppelte Endung. Die Liste Entries markiert die Datei mit „runs code“.
Ein Programm, benannt wie ein Foto
photo.jpg, a 64-byte file that starts with the bytes 4D 5A (MZ)DOS / 16-bit executable (MZ); .jpg passt nicht. Gefahr: Das Programm ist als .jpg getarnt, ein Name, der eine harmlose Datei verspricht, während der Inhalt Code ist.
Ein PDF, das beim Öffnen JavaScript ausführt
scan.pdf whose /OpenAction points to a /JavaScript actionPDF document, .pdf passt. Gefahr: Es enthält JavaScript und eine automatische Aktion, die es beim Öffnen der Datei ausführen kann. Die Zeile Keywords listet /JavaScript, /JS und /OpenAction auf.
Häufig gestellte Fragen
Wie entscheidet der Sniffer, was eine Datei ist?
Er vergleicht die ersten Bytes und feste Offsets wie 0x8001 für ISO-Images oder 257 für TAR mit etwa 100 Formatsignaturen und sieht dann in ZIP-, OLE2-, PE-, LNK-, PDF- und RTF-Strukturen hinein: Office-Bestandteile und Makros, MSI- und Outlook-Streams, EXE oder DLL und CPU-Typ, Verknüpfungsziele und PDF-Aktionsschlüsselwörter. Textdateien werden anhand von Merkmalen wie einer Shebang-Zeile, HTML-Tags oder PowerShell-Syntax eingeordnet.
Was kann er übersehen oder falsch erkennen?
Textformate werden heuristisch erkannt, daher kann ein kurzes Skript als einfacher Text gemeldet werden, und PDF-Schlüsselwörter in komprimierten Objekt-Streams sind für ihn nicht sichtbar. Er beschreibt den Dateityp und Tarntricks, sucht aber nicht nach Malware; ein unauffälliges Ergebnis ist also kein Urteil.
Wird die Datei hochgeladen oder geöffnet?
Nein. Der Browser liest nur die benötigten Bytebereiche der Datei auf Ihrem Gerät, nichts wird ausgeführt oder gerendert, und nichts wird über das Netzwerk gesendet.
Warum kann eine Datei namens .jpg oder .pdf gefährlich sein?
Mailfilter beurteilen eine Datei oft nach ihrer Endung. Ein in .jpg umbenanntes Programm kann an ihnen vorbeigelangen und braucht nur eine Umbenennung oder einen Loader, um wieder ausgeführt zu werden, und eine HTML-Seite namens .pdf kann sich im Browser als gefälschte Anmeldeseite öffnen.
Kann ich mehrere Dateien auf einmal prüfen?
Ja. Ziehen Sie bis zu 50 Dateien hierher, oder wählen Sie sie aus; jede erhält ihre eigene Ergebniskarte, und Clear entfernt alle.
Was soll ich nach einer Gefahrenmarkierung tun?
Öffnen Sie die Datei nicht. Hashen Sie sie mit File Hash Calculator, schlagen Sie den SHA-256 bei VirusTotal oder MalwareBazaar nach, und melden Sie den Absender Ihrem Mailanbieter.