Tipo reale ↔ estensione
Riconosce il formato dai magic bytes e lo confronta con l'estensione (gestendo alias come jpeg/jpg).
Analisi
Analisi file
Il modulo Analisi file assembla un dossier del file riusando ogni motore dell'app: tipo reale, entropia, stringhe, header eseguibili, firme incorporate, fuzzy hash, YARA e Content Credentials C2PA.
Cosa fa
Cosa fa il modulo Analisi file
Entropia di Shannon
Valore globale e per blocco (sparkline); segnala i formati già compressi per non generare falsi allarmi.
Stringhe ASCII e UTF-16
Estrae le stringhe stampabili, incluse quelle UTF-16LE tipiche di Windows; URL/email/IP evidenziati.
Header eseguibili
PE/ELF/Mach-O: architettura, sezioni, import; per i PE anche imphash e rilevamento packer.
Fuzzy hash & hash-set
ssdeep per trovare file simili e confronto con hash-set noti (liste stile NSRL).
YARA & C2PA
Applica regole YARA da endpoint aggiornabile e legge/valida i Content Credentials C2PA.
Contenuto attivo degli allegati
Cosa farebbe un allegato se lo aprissi, senza aprirlo: macro VBA con il sorgente e le procedure che partono da sole (anche nei PowerPoint), macro Excel 4, modelli remoti, campi DDE, oggetti incorporati o collegati, collegamenti .lnk (comando, argomenti, macchina di origine), pagine HTML e SVG con moduli, reindirizzamenti e HTML smuggling, RTF con l'Editor di equazioni, script con i comandi PowerShell decodificati, file nascosti in OneNote, documenti cifrati, doppia estensione.
Solo fatti tecnici
La gravità indica la capacità del file («esegue codice all'apertura»), non un'intenzione: niente giudizi sul testo, niente reputazione. Gli indirizzi trovati sono elencati, mai aperti. Il sorgente delle macro coincide carattere per carattere con quello di olevba, lo strumento di riferimento.
C2PA: firma e legame col file
Oltre alla firma del manifest, Probatio ricalcola l'impronta del file che il manifest dichiara: una firma valida su un file modificato dopo la firma risulta «non corrisponde». Vale anche per i manifest cloud.
Struttura interna dei contenitori
Per i file che ne contengono altri — involucri compressi, documenti OLE, ZIP — l'albero completo dei livelli, con tipo, dimensione, entropia, date e SHA-256 di ogni elemento. Di ogni oggetto incorporato riconosce l'applicazione che l'ha creato (per esempio un disegno CorelDRAW dentro un oledata.mso di Outlook), ne estrae i metadati (autore, date, revisione, programma) e mostra le anteprime trovate dentro. Un «Equation Native» camuffato sotto un'altra classe, la via degli exploit dell'Editor di equazioni, è un rilievo alto.
Metafile EMF e WMF
Le immagini EMF/WMF, anche compresse come l'image001.emz che allega Outlook, si leggono record per record nel processo isolato, senza farle disegnare al sistema: SETABORTPROC, escape verso la stampante, profili colore su percorsi di rete (fuga NTLM), record malformati. L'immagine visibile viene ricomposta dalle bitmap incorporate, con la sua impronta.
Reset
Un pulsante riporta il modulo allo stato iniziale.
Passo per passo
Come funziona
- Apri un file: Probatio rileva il tipo e calcola l'entropia su un campione.
- Estrae stringhe, header eseguibili, firme incorporate e ssdeep.
- On-demand confronta con hash-set, applica YARA e analizza il manifest C2PA.
FAQ
Domande frequenti
Cosa rileva l'analisi di un file?
Tipo reale vs estensione, entropia (globale e a blocchi), stringhe ASCII/UTF-16, header eseguibili, firme incorporate, fuzzy hash ssdeep, hash-set noti, YARA e C2PA.
Probatio valida la firma C2PA?
Sì: decodifica il manifest (JUMBF + CBOR) e verifica crittograficamente la firma COSE (ES256/384, PS/RS256/384/512, EdDSA). Non valida ancora la catena fino a una trust anchor C2PA.
Da dove arrivano le regole YARA?
Da un endpoint online configurabile nelle Impostazioni; le regole sono scaricate, compilate e applicate al file localmente.
Moduli correlati