Analisi email sospetta: allegati e link prima di aprirli

Trascina qui la mail o l'allegato.eml, .msg, PEC, .p7m, PDF, Word, Excel, PowerPoint, RTF, ZIP, RAR, 7z, ISO, collegamenti .lnk, HTML, script. Fino a 50 MB.

Il file viene letto e smontato nel tuo browser, non viene caricato su nessun server. Al server arrivano solo i nomi dei domini trovati, per controllarne età e reputazione. Cosa esce dal dispositivo

Come si usa

1

Salva la mail o l'allegato

In Gmail apri la mail, menu a tre puntini, Scarica messaggio: ottieni un file .eml. In Outlook trascina la mail sul desktop (file .msg) oppure salva solo l'allegato. Dalla webmail della PEC scarica il messaggio intero.
2

Trascinalo nel riquadro

Oppure toccalo per scegliere il file dal telefono. L'analisi parte da sola e dura pochi secondi; il file non lascia il tuo dispositivo.
3

Leggi l'esito e le frasi sotto

In alto trovi uno dei quattro esiti, sotto l'elenco di cosa farebbe il file, dal punto più grave al meno grave, e la tabella dei domini che contiene.
4

Se serve, passa il report a chi ti segue

Copia il report o scarica il JSON per il tuo tecnico. Il dettaglio tecnico mostra ogni elemento del file e la regola che ha prodotto ogni segnalazione.

Perché smontare il file invece di aprirlo

Un documento pericoloso non fa nulla finché non lo apri con il programma giusto: Word esegue la macro, il lettore PDF esegue il JavaScript, Windows esegue il collegamento. Questo strumento non usa nessuno di quei programmi. Legge il file come una sequenza di byte, ne ricostruisce la struttura (lo ZIP dentro il .docx, il progetto VBA dentro il .xlsm, gli oggetti dentro il PDF, gli allegati dentro la mail) ed elenca le parti che sono in grado di agire da sole.

Un antivirus confronta il file con le firme di attacchi già visti, e un attacco di ieri sera spesso non ha ancora una firma. Qui il ragionamento è un altro: si cercano le capacità che un documento non dovrebbe avere. Una macro che parte all'apertura e avvia PowerShell, un modello Word scaricato da un server sconosciuto, un PDF in cui un unico link copre tutta la pagina. Queste tecniche cambiano molto più lentamente dei singoli attacchi, e si riconoscono senza sapere chi le ha usate.

Dal 2022 Office blocca le macro nei file scaricati da internet, e chi attacca si è spostato su altro: archivi con dentro script, immagini disco, collegamenti .lnk, pagine HTML che fabbricano un file nel browser, PDF che portano a una pagina di login falsa. Per questo lo strumento guarda anche la mail che contiene l'allegato: chi la manda, a chi va la risposta, dove portano davvero i link e da quanti giorni esistono i domini.

Cosa controlla, formato per formato

Mail (.eml, .msg di Outlook, PEC): mittente e nome visualizzato, Reply-To e Return-Path, esito dei controlli SPF, DKIM e DMARC registrato dal server che l'ha ricevuta, link del testo e dell'HTML, allegati (aperti uno per uno, anche quelli dentro altri allegati).
Word, Excel, PowerPoint (anche .docm, .xlsm, .xlsb, .doc, .xls): macro VBA e il loro codice, macro Excel 4, fogli nascosti, modelli e oggetti caricati da internet, campi DDE, controlli ActiveX, oggetti incorporati e pacchetti con dentro file eseguibili, documenti cifrati (con la password li apre).
LibreOffice (.odt, .ods, .odp): macro Basic, script, macro che partono all'apertura.
PDF: azioni all'apertura, JavaScript e le funzioni che chiama, comandi Launch, file allegati, moduli XFA, link e area della pagina che coprono, nomi mascherati, PDF cifrati (anche quelli che chiedono una password) e immagini con codici QR.
RTF: oggetti incorporati anche quando il codice è offuscato, oggetti dell'Editor di equazioni.
Archivi e immagini disco (ZIP, RAR, 7z, tar, gzip, ISO): elenco dei file, estensioni doppie o pericolose, archivi cifrati, bombe di decompressione. Il contenuto di ZIP, tar, gzip e ISO viene aperto e analizzato; di RAR e 7z leggiamo l'elenco.
Collegamenti, script e pagine (.lnk, .url, .js, .vbs, .hta, .ps1, .bat, HTML, SVG, OneNote): cosa avviano, cosa scaricano, comandi codificati, HTML smuggling, moduli che chiedono la password.
File firmati .p7m: estrae il documento firmato e analizza quello.

Come leggere il risultato

L'esito in alto è uno di quattro, e nessuno dei quattro significa che il file può essere aperto senza pensarci.

Elementi pericolosi o tipici di una truffa: almeno un segnale di gravità alta o critica. Il file sa fare qualcosa che un documento normale non fa, oppure la mail imita qualcuno.
Elementi da chiarire: segnali di gravità media, che hanno spiegazioni innocenti ma vanno spiegati da chi ha mandato il file.
Nessun contenuto attivo tra quelli che lo strumento sa riconoscere: nessuno dei segnali che conosciamo. Vale per quello che lo strumento sa vedere, niente di più.
Non ha potuto guardare dentro tutto il file: una parte era cifrata, troppo grande o in un formato che il browser non apre. Quella parte non è stata esaminata.

Ogni segnalazione ha una gravità (critica, alta, media, bassa) e una frase che dice cosa succederebbe aprendo il file. Il dettaglio tecnico, chiuso di default, mostra la posizione nel file, i fatti estratti, la regola e il riferimento MITRE ATT&CK, così un tecnico può ricontrollare tutto.

Cosa questo strumento non può dirti

Non è un antivirus e non sostituisce i filtri della posta o la protezione del computer. Non esegue il file, quindi non vede cosa farebbe un programma che si attiva solo in certe condizioni, e non riconosce un exploit costruito apposta per un difetto di Word o del lettore PDF che non lascia nessuno dei segni che conosciamo.

Gli archivi RAR e 7z si possono solo elencare, e gli archivi chiusi con una password restano chiusi. Un attaccante che conosce le regole può provare a scrivere un file che le evita: è un limite di ogni controllo pubblico e senza esecuzione.

Per questo un esito senza segnalazioni non è un via libera. La difesa più solida resta la stessa di sempre: se una mail ti chiede di aprire un allegato o di inserire una password e non te l'aspettavi, chiedi conferma al mittente con un canale diverso dalla mail.

Cosa resta sul tuo dispositivo e cosa no

Il file non viene caricato. Viene letto in memoria e smontato da un componente del browser (un web worker) a cui è vietata qualunque connessione di rete: anche se volesse, non potrebbe mandare nulla. Alla fine dell'analisi quel componente viene chiuso e il file non viene salvato da nessuna parte.

Escono dal dispositivo, per come è fatto il sito, queste cose:

i nomi dei domini trovati nel file e nella mail (per esempio poste-it-verifica.example), che il nostro server confronta con le liste di phishing e di cui chiede la data di registrazione ai registri pubblici dei domini (RDAP, whois per i .it). Il resto dell'indirizzo, il file e il suo contenuto non partono;
le statistiche d'uso anonime del sito (Matomo) e una registrazione anonima della sessione sulla pagina, che usiamo per capire dove lo strumento si capisce male e migliorarlo: comprende il testo del report mostrato a schermo, quindi nomi di file, indirizzi dei mittenti e domini trovati, mai il file;
la pubblicità, quando è attiva su questa pagina.

Se la mail contiene dati che non vuoi mostrare a nessuno, puoi salvare solo l'allegato e analizzare quello.

PEC, fatture elettroniche e file .p7m

Una PEC non garantisce che il contenuto sia innocuo: certifica chi ha spedito e quando la mail è stata consegnata. Le caselle PEC di aziende e professionisti vengono violate e usate per mandare allegati malevoli a chi si fida proprio perché è una PEC.

Se trascini una busta PEC (il file .eml scaricato dalla webmail del gestore), lo strumento riconosce la busta del gestore, apre il messaggio originale postacert.eml e analizza i suoi allegati. I file firmati digitalmente .p7m, comprese le fatture elettroniche .xml.p7m, vengono aperti: si estrae il documento firmato e si analizza quello.

Per leggere la busta, la ricevuta e la firma del gestore usa il lettore di file EML e PEC; per controllare chi ha firmato un .p7m, lo strumento per aprire i file p7m.

Glossario

Termini tecnici usati in questa pagina, spiegati in due righe.

Macro #: Piccolo programma dentro un documento Office. Può partire all'apertura e fare quasi tutto quello che può fare l'utente sul computer.
Phishing #: Mail che si finge un mittente noto, come una banca, un corriere o Poste, per farti aprire un allegato o inserire le credenziali su un sito falso.
SPF, DKIM e DMARC #: Controlli con cui il server che riceve la mail accerta che il mittente sia autorizzato a usare quel dominio. Il risultato è scritto nell'intestazione Authentication-Results.
HTML smuggling #: Pagina HTML che costruisce un file direttamente nel browser e lo fa scaricare, così il file non passa dai filtri della posta come allegato.
Quishing #: Phishing con un codice QR: il link non è scritto nella mail ma in un'immagine, e si apre dal telefono, dove spesso non ci sono filtri.
Collegamento .lnk #: Scorciatoia di Windows. Può avere l'icona di un PDF e avviare in realtà PowerShell o un altro programma con un comando a scelta.
Dominio sosia #: Nome di dominio che imita quello di un'azienda, con lettere cambiate o parole aggiunte (poste-it-verifica, paypa1, intesasanpaolo-sicurezza).
RDAP #: Servizio dei registri dei domini che dice, tra l'altro, quando un dominio è stato registrato. Per i domini .it si usa il whois del Registro .it.

Domande frequenti

È un antivirus?

No. Un antivirus confronta il file con attacchi già noti e ti dà un verdetto. Questo strumento smonta il file e ti dice cosa contiene di attivo e cosa proverebbe a fare, senza mai dichiararlo innocuo. È un secondo parere da affiancare alla protezione che hai già, non un sostituto.

Il mio file viene caricato da qualche parte?

No. Il file viene letto nel tuo browser da un componente a cui è vietata ogni connessione. Al server arrivano solo i nomi dei domini trovati, per controllarne età e reputazione, e le statistiche d'uso della pagina. Trovi l'elenco completo nella sezione Cosa resta sul tuo dispositivo.

L'esito dice che non ha trovato nulla: posso aprire il file?

Vuol dire che il file non mostra nessuno dei segnali che lo strumento conosce, non che sia innocuo. Se la mail era attesa e il mittente è chi dice di essere, puoi procedere. Se non te l'aspettavi, chiedi conferma con una telefonata o scrivendo a un indirizzo che conosci già, non rispondendo alla mail.

Ho ricevuto una fattura via PEC o un file .p7m: funziona?

Sì. Lo strumento apre la busta PEC, il messaggio originale e i suoi allegati, ed estrae il documento contenuto nei file firmati .p7m. Ricorda che anche una PEC può arrivare da una casella violata: la certificazione riguarda la consegna, non il contenuto.

L'allegato è uno ZIP con la password scritta nella mail: cosa faccio?

Lo strumento elenca i file contenuti e ti segnala se tra questi c'è qualcosa che si esegue, ma non apre gli archivi chiusi con una password. Un archivio con la password nel testo della mail è una tecnica tipica per far passare un malware dai filtri: se non te lo aspettavi, non aprirlo.

Ho la password di un documento cifrato: posso analizzarlo?

Sì, per i documenti Word, Excel e PowerPoint cifrati e per i PDF con password. Quando lo strumento trova un file cifrato compare un campo: scrivi la password e premi Analizza. La password viene usata solo nel tuo browser e non viene inviata.

Perché un Excel con macro non è segnalato come pericoloso?

Perché molte aziende usano fogli con macro per lavoro. Lo strumento distingue: una macro presente ma inerte è un segnale basso, una macro che parte all'apertura è da chiarire, una macro che parte all'apertura e avvia programmi, scarica file o chiama funzioni di sistema è critica. È la stessa logica usata dagli strumenti di analisi professionali come mraptor di oletools.

Cosa vuol dire che un dominio è stato registrato da pochi giorni?

Chi fa phishing registra domini nuovi per ogni campagna e li abbandona dopo pochi giorni, quando finiscono nelle liste di blocco. Un link a un dominio nato la settimana scorsa che si presenta come la tua banca è un segnale forte. Un dominio vecchio, da solo, non dimostra nulla.

Come capisco se una mail di Poste o della mia banca è vera?

Guarda il dominio reale del mittente e dei link, non il nome visualizzato: lo strumento te li mostra e segnala quelli che imitano un marchio. Poste, banche e Agenzia delle Entrate non chiedono password o codici via mail. Nel dubbio entra nel sito digitando tu l'indirizzo, o usa l'app ufficiale.

Ho già aperto l'allegato: cosa faccio adesso?

Scollega il computer dalla rete, non spegnerlo e avvisa chi segue l'informatica in azienda. Da un altro dispositivo cambia le password usate su quel computer, a partire da posta e banca. Puoi segnalare la mail alla Polizia Postale e, per le aziende, al CSIRT Italia.

Funziona anche dal telefono?

Sì. Su Android scarica l'allegato e sceglilo dal riquadro; su iPhone salva prima l'allegato in File, poi sceglilo da lì. L'analisi gira nel browser del telefono come sul computer.

Fonti usate

Leggi, tabelle ufficiali e implementazioni di riferimento su cui è stata verificata la logica del tool.

Altri tool dello stesso ambito che potrebbero esserti utili.

Analisi di una email sospetta e dei suoi allegati

Come si usa

Salva la mail o l'allegato

Trascinalo nel riquadro

Leggi l'esito e le frasi sotto

Se serve, passa il report a chi ti segue