MD5, SHA-1 e SHA-256 di qualsiasi file, con link di ricerca pronti per VirusTotal e MalwareBazaar.
Nuovo
Rilevatore del tipo di file
Funziona in localeNuovo
Lo strumento è in inglese; questa pagina ne fornisce una spiegazione nella tua lingua.
Usa Rilevatore del tipo di file
Cosa fa
Trascina un file per vedere cosa è davvero, giudicato dai suoi byte anziché dal nome, e se il nome, l'estensione o il contenuto cercano di nasconderlo. Nulla viene caricato o aperto.
Funziona interamente nel browser: nulla di ciò che inserisci viene caricato online.
Come utilizzare Rilevatore del tipo di file
- Tieni il file chiuso. Salva l'allegato o il download senza aprirlo.
- Trascina o scegli i file. Trascina uno o più file sul riquadro o selezionali. Vengono controllati fino a 50 file per volta, ciascuno nella propria scheda.
- Confronta tipo ed estensione. Detected type, Kind ed Extension compaiono in alto. Un "does not match" rosso significa che il nome mente sul contenuto.
- Leggi segnalazioni e dettagli. I riquadri Danger e Warning spiegano ogni camuffamento o funzione rischiosa. Sotto ci sono i byte della firma, le voci dell'archivio, le parole chiave PDF e un dump esadecimale dei primi byte.
- Passa al passo successivo. Segui lo strumento suggerito, come File Hash Calculator per una ricerca su VirusTotal, e trascinaci lo stesso file.
Esempio
Allegato di HTML smuggling
Invoice_0425.pdf.html
<html><body><script>
var data = atob('UEsDBBQAAAAIAA==');
var blob = new Blob([data], {type: 'application/zip'});
var a = document.createElement('a');
a.href = URL.createObjectURL(blob);
a.download = 'Invoice_0425.zip';
a.click();
</script></body></html>Invoice_0425.pdf.html
254 B (254 bytes) · read 254 B
DETECTED TYPE
HTML document
KIND
web page text/html
EXTENSION
.html matches
.html fits HTML document.
Danger: HTML smuggling pattern: script decodes embedded data and offers it as a download (Blob/atob/msSaveOrOpenBlob).
Warning: Double extension: ".pdf" is decoration, the real extension is ".html" (a web page posing as a document, typical of phishing attachments).
Text encoding
UTF-8 or ASCII
Script and form hints
script element; atob() Base64 decoding; Blob construction; URL.createObjectURL(); forced download (download attribute)
FIRST 64 BYTES
0000 3C 68 74 6D 6C 3E 3C 62 6F 64 79 3E 3C 73 63 72 <html><body><scr
0010 69 70 74 3E 0A 76 61 72 20 64 61 74 61 20 3D 20 ipt>.var data =
0020 61 74 6F 62 28 27 55 45 73 44 42 42 51 41 41 41 atob('UEsDBBQAAA
0030 41 49 41 41 3D 3D 27 29 3B 0A 76 61 72 20 62 6C AIAA==');.var bl
Copy hex dump
Next: HTML Attachment Analyzer (inspect scripts, forms and embedded payloads); File Hash Calculator (hash the file for VirusTotal and MalwareBazaar lookups). Open it and drop the same file there.La prima riga diventa il nome del file e il resto il suo contenuto. Lo strumento riporta un documento HTML, segnala la doppia estensione .pdf.html e lo schema di HTML smuggling (atob, Blob e un download forzato), e rimanda a HTML Attachment Analyzer.
Cosa verifica
| Segnale | Cosa significa |
|---|---|
| Tipo rilevato ed estensione | L'estensione corrisponde, non corrisponde, non è controllata o manca. Una mancata corrispondenza è il segnale principale di un file camuffato. |
| Codice travestito da documento o immagine | Pericolo: il contenuto è un programma, un collegamento o uno script mentre il nome promette un file innocuo. Uno script salvato come .txt riceve invece un avviso. |
| Doppia estensione | Un nome come statement.pdf.exe o invoice.pdf.html: la prima estensione è solo decorazione. |
| Right-to-left override e caratteri invisibili | Trucchi Unicode che fanno mostrare a un nome un'estensione falsa. Viene riportata l'estensione reale. |
| Contenuto degli archivi | Eseguibili, script, collegamenti, file HTML e doppie estensioni all'interno di uno ZIP, voci cifrate e percorsi Zip Slip vengono segnalati senza estrarre nulla. |
| Macro e oggetti Office | Progetti VBA, fogli macro di Excel 4.0, oggetti OLE incorporati, oggetti Equation Editor e documenti protetti da password. |
| Parole chiave PDF | JavaScript con un'azione automatica all'apertura, /Launch, file incorporati, invio di moduli e nomi offuscati. |
| Collegamenti e immagini disco | File LNK che eseguono strumenti da riga di comando o puntano a percorsi remoti, e immagini ISO, IMG o VHD usate per aggirare gli avvisi di download. |
| HTML e SVG | Schemi di smuggling, moduli di credenziali che inviano i dati altrove e script all'interno del markup. |
| ZIP accodato | Una nota quando un archivio ZIP si trova alla fine di un altro file: un archivio autoestraente, un installer o un file poliglotta valido in due formati. |
Altri esempi
Un programma dentro uno ZIP
Statement.zip containing one file, Statement.pdf.exeZIP archive, .zip matches. Due segnali di pericolo: contiene 1 file eseguibile, script o collegamento (Statement.pdf.exe), e il nome di una voce ha una doppia estensione. L'elenco Entries contrassegna il file con "runs code".
Un eseguibile chiamato come una foto
photo.jpg, a 64-byte file that starts with the bytes 4D 5A (MZ)DOS / 16-bit executable (MZ); .jpg does not match. Pericolo: l'eseguibile è camuffato da .jpg, un nome che promette un file innocuo mentre il contenuto è codice.
Un PDF che esegue JavaScript all'apertura
scan.pdf whose /OpenAction points to a /JavaScript actionPDF document, .pdf matches. Pericolo: contiene JavaScript e un'azione automatica che può eseguirlo all'apertura del file. La riga Keywords elenca /JavaScript, /JS e /OpenAction.
Domande frequenti
Come decide lo strumento che tipo di file è?
Confronta i primi byte, e offset fissi come 0x8001 per le immagini ISO o 257 per TAR, con circa 100 firme di formato, poi esamina le strutture interne di ZIP, OLE2, PE, LNK, PDF e RTF: parti Office e macro, flussi MSI e Outlook, EXE o DLL e tipo di CPU, destinazioni dei collegamenti e parole chiave delle azioni PDF. I file di testo vengono classificati in base a marcatori come una riga shebang, tag HTML o sintassi PowerShell.
Cosa può sfuggirgli o cosa può sbagliare?
I formati di testo vengono riconosciuti con euristiche, quindi uno script breve può essere riportato come testo semplice, e le parole chiave PDF all'interno di flussi di oggetti compressi non gli sono visibili. Descrive il tipo di file e i trucchi di camuffamento ma non cerca malware, quindi un risultato pulito non è un verdetto.
Il file viene caricato o aperto?
No. Il browser legge solo gli intervalli di byte che servono dal file sul tuo dispositivo, nulla viene eseguito o visualizzato, e nulla viene inviato in rete.
Perché un file chiamato .jpg o .pdf può essere pericoloso?
I filtri di posta spesso giudicano un file dalla sua estensione. Un programma rinominato in .jpg può superarli e per tornare eseguibile gli basta essere rinominato o un loader, e una pagina HTML chiamata .pdf può aprirsi in un browser come falsa pagina di accesso.
Posso controllare più file alla volta?
Sì. Trascina o scegli fino a 50 file; ognuno riceve la propria scheda dei risultati, e Clear li rimuove tutti.
Cosa devo fare dopo un segnale di pericolo?
Non aprire il file. Calcolane l'hash con File Hash Calculator, cerca lo SHA-256 su VirusTotal o MalwareBazaar e segnala il mittente al tuo provider di posta.