MD5, SHA-1 e SHA-256 de qualquer arquivo, com links prontos de pesquisa no VirusTotal e no MalwareBazaar.
Nova
Detector de tipo de arquivo
Execução localNova
A ferramenta em si está em inglês; esta página explica como usá-la no seu idioma.
Use Detector de tipo de arquivo
O que ele faz
Solte um arquivo para ver o que ele realmente é, julgado pelos bytes e não pelo nome, e se o nome, a extensão ou o conteúdo tentam esconder isso. Nada é enviado nem aberto.
Ele funciona inteiramente no seu navegador: nada do que você digitar é enviado.
Como usar Detector de tipo de arquivo
- Mantenha o arquivo fechado. Salve o anexo ou o download sem abri-lo.
- Solte ou escolha arquivos. Solte um ou mais arquivos na caixa ou escolha-os. Até 50 arquivos são verificados de cada vez, cada um em seu próprio cartão.
- Compare o tipo e a extensão. Detected type, Kind e Extension aparecem no topo. Um "does not match" em vermelho significa que o nome mente sobre o conteúdo.
- Leia as sinalizações e os detalhes. As caixas Danger e Warning explicam cada disfarce ou recurso arriscado. Abaixo delas ficam os bytes de assinatura, as entradas de arquivos compactados, as palavras-chave de PDF e um dump hexadecimal dos primeiros bytes.
- Dê o próximo passo. Siga a ferramenta sugerida, como o File Hash Calculator para uma consulta no VirusTotal, e solte o mesmo arquivo lá.
Exemplo
Anexo de HTML smuggling
Invoice_0425.pdf.html
<html><body><script>
var data = atob('UEsDBBQAAAAIAA==');
var blob = new Blob([data], {type: 'application/zip'});
var a = document.createElement('a');
a.href = URL.createObjectURL(blob);
a.download = 'Invoice_0425.zip';
a.click();
</script></body></html>Invoice_0425.pdf.html
254 B (254 bytes) · read 254 B
DETECTED TYPE
HTML document
KIND
web page text/html
EXTENSION
.html matches
.html fits HTML document.
Danger: HTML smuggling pattern: script decodes embedded data and offers it as a download (Blob/atob/msSaveOrOpenBlob).
Warning: Double extension: ".pdf" is decoration, the real extension is ".html" (a web page posing as a document, typical of phishing attachments).
Text encoding
UTF-8 or ASCII
Script and form hints
script element; atob() Base64 decoding; Blob construction; URL.createObjectURL(); forced download (download attribute)
FIRST 64 BYTES
0000 3C 68 74 6D 6C 3E 3C 62 6F 64 79 3E 3C 73 63 72 <html><body><scr
0010 69 70 74 3E 0A 76 61 72 20 64 61 74 61 20 3D 20 ipt>.var data =
0020 61 74 6F 62 28 27 55 45 73 44 42 42 51 41 41 41 atob('UEsDBBQAAA
0030 41 49 41 41 3D 3D 27 29 3B 0A 76 61 72 20 62 6C AIAA==');.var bl
Copy hex dump
Next: HTML Attachment Analyzer (inspect scripts, forms and embedded payloads); File Hash Calculator (hash the file for VirusTotal and MalwareBazaar lookups). Open it and drop the same file there.A primeira linha vira o nome do arquivo e o restante, o conteúdo. O detector informa um documento HTML, sinaliza a extensão dupla .pdf.html e o padrão de HTML smuggling (atob, Blob e um download forçado) e indica o HTML Attachment Analyzer.
O que ele verifica
| Sinal | O que isso significa |
|---|---|
| Tipo detectado e extensão | A extensão corresponde, não corresponde, não é verificada ou está ausente. Uma divergência é o sinal central de um arquivo disfarçado. |
| Código disfarçado de documento ou imagem | Perigo: o conteúdo é um programa, um atalho ou um script, enquanto o nome promete um arquivo inofensivo. Um script salvo como .txt recebe um aviso no lugar. |
| Extensão dupla | Um nome como statement.pdf.exe ou invoice.pdf.html: a primeira extensão é enfeite. |
| Right-to-left override e caracteres invisíveis | Truques Unicode que fazem um nome exibir uma extensão falsa. A extensão real é informada. |
| Conteúdo de arquivos compactados | Executáveis, scripts, atalhos, arquivos HTML e extensões duplas dentro de um ZIP, entradas criptografadas e caminhos Zip Slip são sinalizados sem extrair nada. |
| Macros e objetos do Office | Projetos VBA, planilhas de macro do Excel 4.0, objetos OLE embutidos, objetos do Equation Editor e documentos protegidos por senha. |
| Palavras-chave de PDF | JavaScript com ação automática de abertura, /Launch, arquivos embutidos, envio de formulário e nomes ofuscados. |
| Atalhos e imagens de disco | Arquivos LNK que executam ferramentas de comando ou apontam para locais remotos, e imagens ISO, IMG ou VHD usadas para contornar avisos de download. |
| HTML e SVG | Padrões de smuggling, formulários de credenciais que enviam os dados para outro lugar e scripts dentro da marcação. |
| ZIP anexado ao final | Uma nota quando um arquivo ZIP está no final de outro arquivo: um arquivo autoextraível, um instalador ou um arquivo poliglota, válido em dois formatos. |
Mais exemplos
Um programa dentro de um ZIP
Statement.zip containing one file, Statement.pdf.exeZIP archive, .zip matches. Duas sinalizações de perigo: ele contém 1 arquivo executável, script ou atalho (Statement.pdf.exe), e o nome de uma entrada tem extensão dupla. A lista Entries marca o arquivo como "runs code".
Um executável com nome de foto
photo.jpg, a 64-byte file that starts with the bytes 4D 5A (MZ)DOS / 16-bit executable (MZ); .jpg does not match. Perigo: o executável está disfarçado de .jpg, um nome que promete um arquivo inofensivo enquanto o conteúdo é código.
Um PDF que executa JavaScript ao abrir
scan.pdf whose /OpenAction points to a /JavaScript actionPDF document, .pdf matches. Perigo: ele contém JavaScript e uma ação automática que pode executá-lo quando o arquivo é aberto. A linha Keywords lista /JavaScript, /JS e /OpenAction.
Perguntas frequentes
Como o detector decide o que é um arquivo?
Ele compara os primeiros bytes, e posições fixas como 0x8001 para imagens ISO ou 257 para TAR, com cerca de 100 assinaturas de formato e depois examina o interior das estruturas ZIP, OLE2, PE, LNK, PDF e RTF: partes e macros do Office, fluxos MSI e do Outlook, EXE ou DLL e tipo de CPU, destinos de atalhos e palavras-chave de ação em PDF. Arquivos de texto são classificados por marcadores como uma linha shebang, tags HTML ou sintaxe do PowerShell.
O que ele pode deixar passar ou errar?
Formatos de texto são reconhecidos por heurísticas, então um script curto pode ser informado como texto simples, e palavras-chave de PDF dentro de fluxos de objetos comprimidos não ficam visíveis para ele. Ele descreve o tipo do arquivo e os truques de disfarce, mas não procura malware, então um resultado limpo não é um veredito.
O arquivo é enviado ou aberto?
Não. O navegador lê só os trechos de bytes de que precisa do arquivo no seu dispositivo, nada é executado nem renderizado, e nada é enviado pela rede.
Por que um arquivo chamado .jpg ou .pdf pode ser perigoso?
Filtros de e-mail costumam julgar um arquivo pela extensão. Um programa renomeado para .jpg pode passar por eles e só precisa de uma renomeação ou de um carregador para voltar a rodar, e uma página HTML chamada .pdf pode abrir no navegador como uma página de login falsa.
Posso verificar vários arquivos de uma vez?
Sim. Solte ou escolha até 50 arquivos; cada um recebe seu próprio cartão de resultado, e Clear remove todos.
O que fazer depois de uma sinalização de perigo?
Não abra o arquivo. Calcule o hash com o File Hash Calculator, consulte o SHA-256 no VirusTotal ou no MalwareBazaar e denuncie o remetente ao seu provedor de e-mail.