MD5, SHA-1 et SHA-256 de n'importe quel fichier, avec des liens de recherche VirusTotal et MalwareBazaar prêts.
Nouveau
Détecteur de type de fichier
Exécution localeNouveau
L'outil lui-même est en anglais ; cette page vous l'explique dans votre langue.
Utilisez Détecteur de type de fichier
Fonctionnalités
Déposez un fichier pour voir ce qu'il est réellement, d'après ses octets et non son nom, et si le nom, l'extension ou le contenu cherchent à le cacher. Rien n'est téléversé ni ouvert.
Tout se passe entièrement dans votre navigateur : aucune des données que vous saisissez n'est transmise.
Comment utiliser Détecteur de type de fichier
- Gardez le fichier fermé. Enregistrez la pièce jointe ou le téléchargement sans l'ouvrir.
- Déposez ou choisissez des fichiers. Déposez un ou plusieurs fichiers sur la zone ou choisissez-les. Jusqu'à 50 fichiers sont vérifiés par dépôt, chacun dans sa propre carte.
- Comparez le type et l'extension. Detected type, Kind et Extension apparaissent en haut. Un « does not match » rouge signifie que le nom ment sur le contenu.
- Lisez les alertes et les détails. Les encadrés Danger et Warning expliquent chaque déguisement ou fonction risquée. En dessous figurent les octets de signature, les entrées d'archive, les mots-clés PDF et un dump hexadécimal des premiers octets.
- Passez à l'étape suivante. Suivez l'outil suggéré, comme File Hash Calculator pour une recherche sur VirusTotal, et déposez-y le même fichier.
Exemple
Pièce jointe de HTML smuggling
Invoice_0425.pdf.html
<html><body><script>
var data = atob('UEsDBBQAAAAIAA==');
var blob = new Blob([data], {type: 'application/zip'});
var a = document.createElement('a');
a.href = URL.createObjectURL(blob);
a.download = 'Invoice_0425.zip';
a.click();
</script></body></html>Invoice_0425.pdf.html
254 B (254 bytes) · read 254 B
DETECTED TYPE
HTML document
KIND
web page text/html
EXTENSION
.html matches
.html fits HTML document.
Danger: HTML smuggling pattern: script decodes embedded data and offers it as a download (Blob/atob/msSaveOrOpenBlob).
Warning: Double extension: ".pdf" is decoration, the real extension is ".html" (a web page posing as a document, typical of phishing attachments).
Text encoding
UTF-8 or ASCII
Script and form hints
script element; atob() Base64 decoding; Blob construction; URL.createObjectURL(); forced download (download attribute)
FIRST 64 BYTES
0000 3C 68 74 6D 6C 3E 3C 62 6F 64 79 3E 3C 73 63 72 <html><body><scr
0010 69 70 74 3E 0A 76 61 72 20 64 61 74 61 20 3D 20 ipt>.var data =
0020 61 74 6F 62 28 27 55 45 73 44 42 42 51 41 41 41 atob('UEsDBBQAAA
0030 41 49 41 41 3D 3D 27 29 3B 0A 76 61 72 20 62 6C AIAA==');.var bl
Copy hex dump
Next: HTML Attachment Analyzer (inspect scripts, forms and embedded payloads); File Hash Calculator (hash the file for VirusTotal and MalwareBazaar lookups). Open it and drop the same file there.La première ligne devient le nom du fichier et le reste son contenu. Le détecteur indique un document HTML, signale la double extension .pdf.html et le schéma de HTML smuggling (atob, Blob et un téléchargement forcé), et renvoie vers HTML Attachment Analyzer.
Ce qu'il vérifie
| Signal | Ce que cela signifie |
|---|---|
| Type détecté et extension | L'extension correspond, ne correspond pas, n'est pas vérifiée ou est absente. Une non-correspondance est le signe principal d'un fichier déguisé. |
| Code déguisé en document ou en image | Danger : le contenu est un programme, un raccourci ou un script alors que le nom promet un fichier inoffensif. Un script enregistré en .txt reçoit plutôt un avertissement. |
| Double extension | Un nom comme statement.pdf.exe ou invoice.pdf.html : la première extension n'est qu'un décor. |
| Remplacement droite-à-gauche et caractères invisibles | Des astuces Unicode qui font afficher une fausse extension dans un nom. La véritable extension est indiquée. |
| Contenu des archives | Les exécutables, scripts, raccourcis, fichiers HTML et doubles extensions dans un ZIP, les entrées chiffrées et les chemins Zip Slip sont signalés sans rien extraire. |
| Macros et objets Office | Projets VBA, feuilles de macros Excel 4.0, objets OLE intégrés, objets Equation Editor et documents protégés par mot de passe. |
| Mots-clés PDF | JavaScript avec une action d'ouverture automatique, /Launch, fichiers intégrés, soumission de formulaire et noms obscurcis. |
| Raccourcis et images disque | Les fichiers LNK qui lancent des outils en ligne de commande ou pointent vers des emplacements distants, et les images ISO, IMG ou VHD utilisées pour contourner les avertissements de téléchargement. |
| HTML et SVG | Schémas de smuggling, formulaires d'identifiants qui envoient les données ailleurs et scripts dans le balisage. |
| ZIP ajouté en fin de fichier | Une note lorsqu'une archive ZIP se trouve à la fin d'un autre fichier : archive auto-extractible, programme d'installation ou fichier polyglotte valide dans deux formats. |
D'autres exemples
Un programme dans un ZIP
Statement.zip containing one file, Statement.pdf.exeArchive ZIP, .zip correspond. Deux alertes de danger : elle contient 1 fichier exécutable, script ou raccourci (Statement.pdf.exe), et un nom d'entrée a une double extension. La liste Entries marque le fichier « runs code ».
Un exécutable nommé comme une photo
photo.jpg, a 64-byte file that starts with the bytes 4D 5A (MZ)DOS / 16-bit executable (MZ) ; .jpg ne correspond pas. Danger : l'exécutable est déguisé en .jpg, un nom qui promet un fichier inoffensif alors que le contenu est du code.
Un PDF qui exécute du JavaScript à l'ouverture
scan.pdf whose /OpenAction points to a /JavaScript actionDocument PDF, .pdf correspond. Danger : il contient du JavaScript et une action automatique qui peut l'exécuter à l'ouverture du fichier. La ligne Keywords liste /JavaScript, /JS et /OpenAction.
FAQ
Comment le détecteur décide-t-il de ce qu'est un fichier ?
Il compare les premiers octets, ainsi que des positions fixes comme 0x8001 pour les images ISO ou 257 pour TAR, avec environ 100 signatures de formats, puis examine l'intérieur des structures ZIP, OLE2, PE, LNK, PDF et RTF : parties Office et macros, flux MSI et Outlook, EXE ou DLL et type de processeur, cibles des raccourcis et mots-clés d'action PDF. Les fichiers texte sont classés d'après des marqueurs comme une ligne shebang, des balises HTML ou une syntaxe PowerShell.
Que peut-il manquer ou mal identifier ?
Les formats texte sont reconnus par heuristique : un court script peut donc être signalé comme du texte brut, et les mots-clés PDF situés dans des flux d'objets compressés lui échappent. Il décrit le type de fichier et les astuces de déguisement mais ne recherche pas de malware : un résultat propre n'est donc pas un verdict.
Le fichier est-il téléversé ou ouvert ?
Non. Le navigateur ne lit que les plages d'octets dont il a besoin dans le fichier présent sur votre appareil, rien n'est exécuté ni affiché, et rien n'est envoyé sur le réseau.
Pourquoi un fichier nommé .jpg ou .pdf peut-il être dangereux ?
Les filtres de messagerie jugent souvent un fichier d'après son extension. Un programme renommé en .jpg peut passer au travers et n'a besoin que d'un renommage ou d'un chargeur pour s'exécuter à nouveau, et une page HTML nommée .pdf peut s'ouvrir dans un navigateur comme une fausse page de connexion.
Puis-je vérifier plusieurs fichiers à la fois ?
Oui. Déposez ou choisissez jusqu'à 50 fichiers ; chacun reçoit sa propre carte de résultat, et Clear les supprime tous.
Que faire après une alerte de danger ?
N'ouvrez pas le fichier. Hachez-le avec File Hash Calculator, recherchez le SHA-256 sur VirusTotal ou MalwareBazaar, et signalez l'expéditeur à votre fournisseur de messagerie.