MD5, SHA-1 en SHA-256 van elk bestand, met kant-en-klare zoeklinks naar VirusTotal en MalwareBazaar.
Nieuw
Bestandstype-sniffer
Draait lokaalNieuw
De tool zelf is in het Engels; op deze pagina wordt uitgelegd hoe deze werkt in uw taal.
Gebruik Bestandstype-sniffer
Wat het doet
Sleep een bestand hierheen om te zien wat het werkelijk is, beoordeeld op basis van het aantal bytes in plaats van de naam, en of de naam, de extensie of de inhoud dat proberen te verbergen. Er wordt niets geüpload of geopend.
Het draait volledig in je browser: er wordt niets van wat je invoert geüpload.
Hoe gebruik je Bestandstype-sniffer
- Houd het bestand gesloten. Sla de bijlage op of download deze zonder deze te openen.
- Bestanden neerzetten of selecteren. Sleep een of meer bestanden naar het vakje of selecteer ze. Per keer worden maximaal 50 bestanden gecontroleerd, elk op een eigen kaartje.
- Type en extensie vergelijken. Het gedetecteerde type, de soort en de extensie worden bovenaan weergegeven. Een rode vermelding „komt niet overeen” betekent dat de naam niet overeenkomt met de inhoud.
- Lees de vlaggen en details. In de vakjes ‘Gevaar’ en ‘Waarschuwing’ wordt elke vermomming of risicovolle eigenschap toegelicht. Daaronder staan de handtekeningbytes, archiefvermeldingen, PDF-trefwoorden en een hex-dump van de eerste bytes.
- Zet de volgende stap. Gebruik de aanbevolen tool, zoals File Hash Calculator voor een VirusTotal-controle, en sleep hetzelfde bestand daarheen.
Voorbeeld
HTML-bijlage smokkelen
Invoice_0425.pdf.html
<html><body><script>
var data = atob('UEsDBBQAAAAIAA==');
var blob = new Blob([data], {type: 'application/zip'});
var a = document.createElement('a');
a.href = URL.createObjectURL(blob);
a.download = 'Invoice_0425.zip';
a.click();
</script></body></html>Invoice_0425.pdf.html
254 B (254 bytes) · read 254 B
DETECTED TYPE
HTML document
KIND
web page text/html
EXTENSION
.html matches
.html fits HTML document.
Danger: HTML smuggling pattern: script decodes embedded data and offers it as a download (Blob/atob/msSaveOrOpenBlob).
Warning: Double extension: ".pdf" is decoration, the real extension is ".html" (a web page posing as a document, typical of phishing attachments).
Text encoding
UTF-8 or ASCII
Script and form hints
script element; atob() Base64 decoding; Blob construction; URL.createObjectURL(); forced download (download attribute)
FIRST 64 BYTES
0000 3C 68 74 6D 6C 3E 3C 62 6F 64 79 3E 3C 73 63 72 <html><body><scr
0010 69 70 74 3E 0A 76 61 72 20 64 61 74 61 20 3D 20 ipt>.var data =
0020 61 74 6F 62 28 27 55 45 73 44 42 42 51 41 41 41 atob('UEsDBBQAAA
0030 41 49 41 41 3D 3D 27 29 3B 0A 76 61 72 20 62 6C AIAA==');.var bl
Copy hex dump
Next: HTML Attachment Analyzer (inspect scripts, forms and embedded payloads); File Hash Calculator (hash the file for VirusTotal and MalwareBazaar lookups). Open it and drop the same file there.De eerste regel wordt de bestandsnaam en de rest de inhoud ervan. De sniffer meldt dat het om een HTML-document gaat, signaleert de dubbele extensie .pdf.html en het HTML-smokkelpatroon (atob, Blob en een gedwongen download), en verwijst naar de HTML Attachment Analyzer.
Wat er wordt gecontroleerd
| Signaal | Wat dit betekent |
|---|---|
| Gedetecteerd type en extensie | De extensie komt overeen, komt niet overeen, is niet aangevinkt of ontbreekt. Een afwijking in de extensie is het belangrijkste kenmerk van een vermomd bestand. |
| Code die is vermomd als een document of afbeelding | Gevaar: de inhoud is een programma, snelkoppeling of script, terwijl de naam doet vermoeden dat het om een onschadelijk bestand gaat. Bij een script dat als .txt is opgeslagen, verschijnt in plaats daarvan een waarschuwing. |
| Dubbele verlenging | Een naam als statement.pdf.exe of invoice.pdf.html: de eerste extensie is louter decoratief. |
| Overschrijving van rechts naar links en onzichtbare tekens | Unicode-trucs waarmee een naam een valse extensie weergeeft. De echte extensie wordt wel doorgegeven. |
| Inhoud van het archief | Uitvoerbare bestanden, scripts, snelkoppelingen, HTML-bestanden en dubbele extensies in een ZIP-bestand, versleutelde items en Zip Slip-paden worden gemarkeerd zonder dat er iets wordt uitgepakt. |
| Macro's en objecten in Office | VBA-projecten, Excel 4.0-macrobladen, ingesloten OLE-objecten, objecten van de Vergelijkingseditor en met een wachtwoord beveiligde documenten. |
| PDF-trefwoorden | JavaScript met een automatische open-actie, /Launch, ingesloten bestanden, het verzenden van formulieren en versleutelde namen. |
| Snelkoppelingen en schijfkopieën | LNK-bestanden waarmee opdrachtregelprogramma’s worden uitgevoerd of die naar externe locaties verwijzen, en ISO-, IMG- of VHD-images die worden gebruikt om downloadwaarschuwingen te omzeilen. |
| HTML en SVG | Smokkelpatronen, inloggegevensformulieren die elders worden geplaatst en scripts in de opmaakcode. |
| Bijgevoegd ZIP-bestand | Een opmerking voor het geval een ZIP-archief aan het einde van een ander bestand staat: een zelfuitpakkend archief, een installatieprogramma of een polyglot-bestand dat in twee formaten geldig is. |
Nog meer voorbeelden
Een programma in een ZIP-bestand
Statement.zip containing one file, Statement.pdf.exeZIP-archief, .zip-bestanden. Twee waarschuwingen: het bevat 1 uitvoerbaar bestand, script of snelkoppeling (Statement.pdf.exe), en de naam van een item heeft een dubbele extensie. In de lijst met items wordt bij het bestand aangegeven dat het „code uitvoert”.
Een uitvoerbaar bestand met de naam van een foto
photo.jpg, a 64-byte file that starts with the bytes 4D 5A (MZ)DOS / 16-bits uitvoerbaar bestand (MZ); de .jpg-extensie klopt niet. Gevaar: het uitvoerbare bestand is vermomd als een .jpg-bestand, een naam die een onschadelijk bestand suggereert, terwijl de inhoud uit code bestaat.
Een PDF-bestand waarin JavaScript wordt uitgevoerd zodra het wordt geopend
scan.pdf whose /OpenAction points to a /JavaScript actionPDF-document, .pdf-treffers. Waarschuwing: het bevat JavaScript en een automatische actie die dit kan uitvoeren zodra het bestand wordt geopend. In de rij ‘Trefwoorden’ staan /JavaScript, /JS en /OpenAction vermeld.
Veelgestelde vragen
Hoe bepaalt de sniffer wat een bestand is?
Het vergelijkt de eerste bytes en vaste offsets, zoals 0x8001 voor ISO-images of 257 voor TAR, met ongeveer 100 formaatsignaturen, en kijkt vervolgens in ZIP-, OLE2-, PE-, LNK-, PDF- en RTF-structuren: Office-onderdelen en macro's, MSI- en Outlook-streams, EXE- of DLL-bestanden en CPU-type, doelen van snelkoppelingen en PDF-actietrefwoorden. Tekstbestanden worden geclassificeerd aan de hand van markeringen zoals een shebang-regel, HTML-tags of PowerShell-syntaxis.
Wat kan er ontbreken of fout zijn?
Tekstformaten worden herkend aan de hand van heuristieken, waardoor een kort script als platte tekst kan worden aangemerkt, en PDF-trefwoorden in gecomprimeerde objectstromen zijn voor het programma niet zichtbaar. Het beschrijft het bestandstype en maskeringstechnieken, maar scant niet op malware; een ‘schoon’ resultaat is dus geen definitieve uitspraak.
Is het bestand geüpload of geopend?
Nee. De browser leest alleen de bytebereiken die hij nodig heeft uit het bestand op je apparaat; er wordt niets uitgevoerd of weergegeven, en er wordt niets via het netwerk verzonden.
Waarom kan een bestand met de extensie .jpg of .pdf gevaarlijk zijn?
E-mailfilters beoordelen een bestand vaak op basis van de bestandsextensie. Een programma waarvan de naam is gewijzigd in .jpg kan zo door de filters heen glippen en hoeft alleen maar opnieuw te worden hernoemd of geladen om weer te kunnen draaien, en een HTML-pagina met de naam .pdf kan in een browser worden geopend als een valse inlogpagina.
Kan ik meerdere bestanden tegelijk selecteren?
Ja. Je kunt maximaal 50 bestanden neerzetten of selecteren; elk bestand krijgt een eigen resultatenkaart, en met ‘Wissen’ verwijder je ze allemaal.
Wat moet ik doen als er een gevarenvlag wordt gezwaaid?
Open het bestand niet. Bereken de hash met File Hash Calculator, zoek de SHA-256-hash op bij VirusTotal of MalwareBazaar en meld de afzender bij je e-mailprovider.