Vanliga Filändelser Utnyttjade för Malwareleverans
Skadliga aktörer bäddar in kod i olika filformat. Risken beror på om formatet stöder körbart innehåll (makron, skript, inbäddade objekt) och om programvaran som bearbetar det har sårbarheter.
Hög Risk Filtyper
Körbara Filer
- .exe, .com, .scr, .bat, .cmd, .pif, .msi, .app (macOS): Kör kod direkt. Högst risk om från opålitlig källa.
Dokument med Makro/Skriptstöd
- .doc, .docx, .xls, .xlsx, .ppt, .pptx: Kan innehålla VBA-makron. Modern Office inaktiverar makron som standard från internetkällor.
- .pdf: Kan bädda in JavaScript, starta URL:er, utnyttja läsarsårbarheter (t.ex. i Adobe Reader).
- .rtf: Kan bädda in OLE-objekt som utnyttjar Equation Editor-sårbarheter (CVE-2017-11882, etc.).
Skript & Webbfiler
- .js, .vbs, .ps1, .py, .sh, .pl: Skript körda av tolkare (Windows Script Host, PowerShell, Python, Bash).
- .html, .htm, .php, .asp, .aspx: Kan innehålla skadlig JavaScript, drive-by downloads, phishing-formulär.
- .hta: HTML Applications – körs med fulla systemprivilegier via mshta.exe.
Arkiv & Containerfiler
- .zip, .rar, .7z, .tar, .gz, .iso, .img: Kan gömma körbara filer, kringgå e-postfilter. Lösenordsskyddade arkiv undviker skanning.
- .img, .vhd, .vmdk: Diskavbilder; kan monteras och auto-köras.
Genvägs & Länkfiler
- .lnk: Kan peka på skadlig körbar fil med argument; ikon-spoofing.
- .url: Internetsgenvägar; kan starta phishing-sajter.
Andra Anmärkningsvärda Format
- .chm: Kompilerad HTML-hjälp; kan köra skript.
- .reg: Registerfiler; kan ändra Windows-register tyst.
- .wsf, .jse, .vbe: Kodade/obfuskade skript.
- Office Open XML (.docx, .xlsx) med inbäddade OLE-objekt
Låg Risk (Men Inte Noll) Format
- Ren text: .txt, .csv, .log (kan inte köra kod, men kan användas i injectionsattacker)
- Bilder: .jpg, .png, .gif, .bmp (utnyttjanden möjliga via parser-sårbarheter, t.ex. CVE-2014-1776)
- Ljud/video: .mp3, .mp4, .wav (codec-sårbarheter)
Bästa Skyddspraxis
- Aktivera filändelse-synlighet i Windows (Mappalternativ → avmarkera "Dölj filändelser för kända filtyper").
- Blockera hög-risk ändelser vid e-postgateway och endpoint (.exe, .scr, .js, .vbs, .hta, .bat, .cmd, .ps1, .lnk).
- Använd applikationskontroll (AppLocker, WDAC) för att begränsa körning till signerade/godkända binärer.
- Inaktivera makron som standard; aktivera endast för digitalt signerade, betrodda dokument.
- Håll programvara uppdaterad (OS, Office, webbläsare, PDF-läsare, arkivverktyg).
- Använd seriöst antivirus/EDR med beteendedetektion.
- Träna användare att känna igen phishing, oväntade bilagor, social engineering.
- Sandlåda misstänkta filer innan öppning (t.ex. Windows Sandbox, Cuckoo, ANY.RUN).
Viktigt Princip
Vilken fil som helst som kan köra kod eller trigga en sårbar parser kan leverera malware. Behandla alla opåbegärda filer som misstänkta oavsett ändelse.
