Gängige Dateierweiterungen, die für Malware-Verteilung ausgenutzt werden
Bösartige Akteure betten Code in verschiedene Dateiformate ein. Das Risiko hängt davon ab, ob das Format ausführbaren Inhalt (Makros, Skripte, eingebettete Objekte) unterstützt und ob die verarbeitende Software Schwachstellen aufweist.
Hochrisiko-Dateitypen
Ausführbare Dateien
- .exe, .com, .scr, .bat, .cmd, .pif, .msi, .app (macOS): Führen Code direkt aus. Höchstes Risiko, wenn von unvertrauenswürdiger Quelle.
Dokumente mit Makro/Skript-Unterstützung
- .doc, .docx, .xls, .xlsx, .ppt, .pptx: Können VBA-Makros enthalten. Modernes Office deaktiviert Makros standardmäßig bei internetbezogenen Dateien.
- .pdf: Kann JavaScript einbetten, URLs starten, Reader-Schwachstellen ausnutzen (z. B. in Adobe Reader).
- .rtf: Kann OLE-Objekte einbetten, die Equation-Editor-Schwachstellen ausnutzen (CVE-2017-11882 usw.).
Skript- & Web-Dateien
- .js, .vbs, .ps1, .py, .sh, .pl: Skripte, die von Interpretern ausgeführt werden (Windows Script Host, PowerShell, Python, Bash).
- .html, .htm, .php, .asp, .aspx: Können bösartiges JavaScript, Drive-by-Downloads, Phishing-Formulare enthalten.
- .hta: HTML-Anwendungen – führen mit vollen Systemrechten via mshta.exe.
Archive & Container-Dateien
- .zip, .rar, .7z, .tar, .gz, .iso, .img: Können ausführbare Dateien verstecken, E-Mail-Filter umgehen. Passwortgeschützte Archive entgehen der Scannung.
- .img, .vhd, .vmdk: Disk-Images; können einbinden und automatisch ausführen.
Verknüpfungs- & Link-Dateien
- .lnk: Kann auf bösartige ausführbare Datei mit Argumenten zeigen; Icon-Spoofing.
- .url: Internet-Verknüpfungen; können Phishing-Seiten starten.
Weitere bemerkenswerte Formate
- .chm: Kompilierte HTML-Hilfe; kann Skripte ausführen.
- .reg: Registrierungsdateien; können Windows-Registrierung still modifizieren.
- .wsf, .jse, .vbe: Kodierte/obfuskierte Skripte.
- Office Open XML (.docx, .xlsx) mit eingebetteten OLE-Objekten
Geringe Risiko (aber nicht null) Formate
- Klartext: .txt, .csv, .log (können keinen Code ausführen, können aber in Injektionsangriffen verwendet werden)
- Bilder: .jpg, .png, .gif, .bmp (Exploits möglich via Parser-Schwachstellen, z. B. CVE-2014-1776)
- Audio/Video: .mp3, .mp4, .wav (Codec-Schwachstellen)
Schutz-Best Practices
- Dateierweiterungssichtbarkeit aktivieren in Windows (Ordneroptionen → „Erweiterungen bei bekannten Dateitypen ausblenden“ deaktivieren).
- Hochrisiko-Erweiterungen blockieren am E-Mail-Gateway und Endpunkt (.exe, .scr, .js, .vbs, .hta, .bat, .cmd, .ps1, .lnk).
- Anwendungskontrolle verwenden (AppLocker, WDAC), um Ausführung auf signierte/zugelassene Binärdateien zu beschränken.
- Makros standardmäßig deaktivieren; nur für digital signierte, vertrauenswürdige Dokumente aktivieren.
- Software aktuell halten (OS, Office, Browser, PDF-Reader, Archivtools).
- Seriöse Antivirensoftware/EDR mit Verhaltenserkennung verwenden.
- Benutzer schulen, um Phishing, unerwartete Anhänge, Social Engineering zu erkennen.
- Verdächtige Dateien in einer Sandbox testen vor dem Öffnen (z. B. Windows Sandbox, Cuckoo, ANY.RUN).
Wichtiges Prinzip
Jede Datei, die Code ausführen oder einen verwundbaren Parser auslösen kann, kann Malware liefern. Behandeln Sie alle unerbetenen Dateien als verdächtig, unabhängig von der Erweiterung.
