MD5, SHA-1 y SHA-256 de cualquier archivo, con enlaces de búsqueda listos para VirusTotal y MalwareBazaar.
Nueva
Detector de tipo de archivo
Se ejecuta localmenteNueva
La herramienta en sí está en inglés; en esta página se explica en tu idioma.
Utiliza Detector de tipo de archivo
Para qué sirve
Suelta un archivo para ver qué es en realidad, a juzgar por sus bytes y no por su nombre, y si el nombre, la extensión o el contenido intentan ocultarlo. No se sube ni se abre nada.
Funciona íntegramente en tu navegador: no se sube nada de lo que introduzcas.
Cómo utilizar Detector de tipo de archivo
- No abras el archivo. Guarda el adjunto o la descarga sin abrirlo.
- Suelta o elige archivos. Suelta uno o varios archivos en el recuadro o elígelos. Se comprueban hasta 50 archivos por vez, cada uno en su propia tarjeta.
- Compara tipo y extensión. Detected type (Tipo detectado), Kind (Clase) y Extension aparecen arriba. Un «does not match» en rojo significa que el nombre miente sobre el contenido.
- Lee los indicadores y los detalles. Los recuadros Danger y Warning explican cada disfraz o función arriesgada. Debajo están los bytes de la firma, las entradas del archivo comprimido, las palabras clave del PDF y un volcado hexadecimal de los primeros bytes.
- Da el siguiente paso. Sigue la herramienta sugerida, como File Hash Calculator para buscar en VirusTotal, y suelta allí el mismo archivo.
Ejemplo
Adjunto con HTML smuggling
Invoice_0425.pdf.html
<html><body><script>
var data = atob('UEsDBBQAAAAIAA==');
var blob = new Blob([data], {type: 'application/zip'});
var a = document.createElement('a');
a.href = URL.createObjectURL(blob);
a.download = 'Invoice_0425.zip';
a.click();
</script></body></html>Invoice_0425.pdf.html
254 B (254 bytes) · read 254 B
DETECTED TYPE
HTML document
KIND
web page text/html
EXTENSION
.html matches
.html fits HTML document.
Danger: HTML smuggling pattern: script decodes embedded data and offers it as a download (Blob/atob/msSaveOrOpenBlob).
Warning: Double extension: ".pdf" is decoration, the real extension is ".html" (a web page posing as a document, typical of phishing attachments).
Text encoding
UTF-8 or ASCII
Script and form hints
script element; atob() Base64 decoding; Blob construction; URL.createObjectURL(); forced download (download attribute)
FIRST 64 BYTES
0000 3C 68 74 6D 6C 3E 3C 62 6F 64 79 3E 3C 73 63 72 <html><body><scr
0010 69 70 74 3E 0A 76 61 72 20 64 61 74 61 20 3D 20 ipt>.var data =
0020 61 74 6F 62 28 27 55 45 73 44 42 42 51 41 41 41 atob('UEsDBBQAAA
0030 41 49 41 41 3D 3D 27 29 3B 0A 76 61 72 20 62 6C AIAA==');.var bl
Copy hex dump
Next: HTML Attachment Analyzer (inspect scripts, forms and embedded payloads); File Hash Calculator (hash the file for VirusTotal and MalwareBazaar lookups). Open it and drop the same file there.La primera línea pasa a ser el nombre del archivo y el resto, su contenido. El detector indica un documento HTML, señala la extensión doble .pdf.html y el patrón de HTML smuggling (atob, Blob y una descarga forzada), y remite al HTML Attachment Analyzer.
Qué comprueba
| Señal | Qué significa |
|---|---|
| Tipo detectado y extensión | La extensión coincide, no coincide, no se comprueba o falta. Que no coincida es la señal principal de un archivo disfrazado. |
| Código disfrazado de documento o imagen | Peligro: el contenido es un programa, un acceso directo o un script, mientras que el nombre promete un archivo inofensivo. Un script guardado como .txt recibe en cambio un aviso. |
| Extensión doble | Un nombre como statement.pdf.exe o invoice.pdf.html: la primera extensión es decorativa. |
| Anulación de derecha a izquierda y caracteres invisibles | Trucos de Unicode que hacen que un nombre muestre una extensión falsa. Se indica la extensión real. |
| Contenido de archivos comprimidos | Se señalan, sin extraer nada, los ejecutables, scripts, accesos directos, archivos HTML y extensiones dobles dentro de un ZIP, las entradas cifradas y las rutas Zip Slip. |
| Macros y objetos de Office | Proyectos VBA, hojas de macros de Excel 4.0, objetos OLE incrustados, objetos de Equation Editor y documentos protegidos con contraseña. |
| Palabras clave de PDF | JavaScript con una acción de apertura automática, /Launch, archivos incrustados, envío de formularios y nombres ofuscados. |
| Accesos directos e imágenes de disco | Archivos LNK que ejecutan herramientas de línea de comandos o apuntan a ubicaciones remotas, e imágenes ISO, IMG o VHD que se usan para eludir los avisos de descarga. |
| HTML y SVG | Patrones de smuggling, formularios de credenciales que envían los datos a otro sitio y scripts dentro del marcado. |
| ZIP añadido al final | Una nota cuando hay un archivo ZIP al final de otro archivo: un archivo autoextraíble, un instalador o un archivo políglota que es válido en dos formatos. |
Más ejemplos
Un programa dentro de un ZIP
Statement.zip containing one file, Statement.pdf.exeZIP archive, .zip coincide. Dos indicadores de peligro: contiene 1 archivo ejecutable, script o acceso directo (Statement.pdf.exe), y el nombre de una entrada tiene extensión doble. La lista Entries marca el archivo con «runs code» (ejecuta código).
Un ejecutable con nombre de foto
photo.jpg, a 64-byte file that starts with the bytes 4D 5A (MZ)DOS / 16-bit executable (MZ); .jpg no coincide. Peligro: el ejecutable está disfrazado como .jpg, un nombre que promete un archivo inofensivo mientras el contenido es código.
Un PDF que ejecuta JavaScript al abrirse
scan.pdf whose /OpenAction points to a /JavaScript actionPDF document, .pdf coincide. Peligro: contiene JavaScript y una acción automática que puede ejecutarlo al abrir el archivo. La fila Keywords lista /JavaScript, /JS y /OpenAction.
Preguntas frecuentes
¿Cómo decide el detector qué es un archivo?
Compara los primeros bytes, y desplazamientos fijos como 0x8001 en las imágenes ISO o 257 en TAR, con unas 100 firmas de formato, y después examina por dentro las estructuras ZIP, OLE2, PE, LNK, PDF y RTF: partes y macros de Office, flujos de MSI y Outlook, EXE o DLL y tipo de CPU, destinos de accesos directos y palabras clave de acciones PDF. Los archivos de texto se clasifican por marcadores como una línea shebang, etiquetas HTML o sintaxis de PowerShell.
¿Qué puede pasar por alto o interpretar mal?
Los formatos de texto se reconocen por heurística, así que un script corto puede aparecer como texto sin formato, y no ve las palabras clave de PDF dentro de flujos de objetos comprimidos. Describe el tipo de archivo y los trucos de disfraz, pero no busca malware, así que un resultado limpio no es un veredicto.
¿Se sube o se abre el archivo?
No. El navegador lee solo los rangos de bytes que necesita del archivo en tu dispositivo, no se ejecuta ni se renderiza nada y no se envía nada por la red.
¿Por qué puede ser peligroso un archivo llamado .jpg o .pdf?
Los filtros de correo suelen juzgar un archivo por su extensión. Un programa renombrado a .jpg puede esquivarlos y solo necesita un cambio de nombre o un cargador para volver a ejecutarse, y una página HTML llamada .pdf puede abrirse en un navegador como una página de inicio de sesión falsa.
¿Puedo comprobar varios archivos a la vez?
Sí. Suelta o elige hasta 50 archivos; cada uno recibe su propia tarjeta de resultado, y Clear (Borrar) las elimina todas.
¿Qué hago después de un indicador de peligro?
No abras el archivo. Calcula su hash con File Hash Calculator, busca el SHA-256 en VirusTotal o MalwareBazaar y denuncia al remitente a tu proveedor de correo.