LanguageComment identifier des fichiers inconnus
Presque tous les utilisateurs d'ordinateur trouvent un jour un fichier étrange sur leurs disques durs et se demandent ce que c'est, car il n'est associé à aucun logiciel actuel et comment il a bien pu arriver là en premier lieu ?
Ces fichiers peuvent être des vestiges de programmes désinstallés depuis longtemps, des documents envoyés par des amis et créés dans un programme dont vous n'avez jamais entendu parler, ou dans le pire des cas, il peut s'agir de virus déguisés en fichiers « inconnus » ou récemment d'archives chiffrées par un ransomware, par exemple CryptoWall ou TeslaCrypt.
Cet article couvre trois méthodes utiles permettant aux utilisateurs de déterminer l'origine et la fonction de certains de leurs fichiers inconnus.
Trois méthodes d'analyse de fichiers inconnus
N°1 - Vérifier la base de données File-Extensions.org en fonction de l'extension du fichier
La meilleure façon d'identifier un fichier est bien sûr de regarder son extension et de consulter notre base de données File-Extensions.org à ce sujet.
Cela devrait vous fournir suffisamment d'informations pour savoir de quel type de fichier il s'agit et quel programme vous devez utiliser pour l'ouvrir. Vous pouvez bien sûr trouver d'autres sites similaires, mais le nôtre est probablement le plus grand et le plus complet, couvrant plus de 30 000 types de fichiers.
Dans la grande majorité des cas, cela suffira, mais parfois l'extension originale du fichier a pu être renommée ou est complètement absente et vous aurez besoin de l'aide d'utilitaires spéciaux d'analyse de fichiers pour identifier un fichier inconnu.
N°2 - Utiliser TrID - File Identifier
TrID est un excellent programme pour une analyse rapide de vos fichiers. Il est assez simple à utiliser, il suffit de le télécharger avec les définitions (copiez-les dans le dossier du programme) et de le lancer via la ligne de commande (cmd.exe) avec la syntaxe appropriée qui exécute l'analyse de votre fichier et tente de déterminer son contenu.
L'auteur du programme, Marco Pontello, met régulièrement à jour la base de données, qui couvre un grand nombre (6401 à ce jour) de types de fichiers variés et devrait contenir la plupart des types de fichiers couramment utilisés. Vous pouvez le télécharger gratuitement, n'oubliez pas de télécharger également les définitions (.trd).
Pour démontrer son fonctionnement, nous avons renommé un document Microsoft Word aléatoire (.doc) en supprimant l'extension, le fichier résultant s'appelant simplement « unknown », et l'avons analysé avec TrID. Vous pouvez voir les résultats sur la capture d'écran ci-dessous.
Assez précis, considérant qu'il s'agissait d'un document Word avec un tableau inséré.
Vous pouvez également utiliser la version en ligne de TrID directement depuis votre navigateur web sans avoir besoin d'installer quoi que ce soit. Cela peut être utile si vous êtes sur une autre plateforme que Windows, ainsi vous n'avez pas à vous compliquer la vie.
C'est aussi un bon moyen de vérifier si un fichier est vraiment ce qu'il prétend être, surtout si vous êtes méfiant quant à son origine. Particulièrement utile pour démasquer des pièces jointes d'e-mails dangereuses avec une extension de fichier renommée dans une tentative de tromper les utilisateurs pour qu'ils l'ouvrent.
Cependant, si TrID ne résout pas le mystère de votre type de fichier inconnu, il reste une dernière option que vous pouvez essayer pour identifier le fichier.
N°3 - Utiliser un visualiseur hexadécimal pour analyser vos fichiers
Vous pouvez utiliser n'importe quel visualiseur hexadécimal disponible pour obtenir les informations dont vous avez besoin, mais si vous cherchez un meilleur outil pour l'analyse de fichiers, nous recommandons FileAlyzer.
FileAlyzer est bien plus qu'un simple visualiseur hexadécimal. Il permet une analyse basique des fichiers et affiche toutes sortes de propriétés du contenu, y compris le dump hexadécimal.
Le programme peut aussi interpréter la structure du contenu et reconnaître le type de fichier (texte, graphique, média, HTML, XML, PE et plus). Là encore, c'est un téléchargement gratuit, donc ça vaut vraiment la peine d'essayer.
L'une des caractéristiques les plus importantes pour identifier des types de fichiers inconnus est le code HEX qui est unique à chaque format de fichier.
La toute première chose à faire est de copier les premiers octets dans la table HEX et de les rechercher simplement sur Google. De nombreux sites offrent des bases de données étendues avec des codes HEX, donc une recherche Google donne généralement des résultats utiles.
Vous pouvez bien sûr consulter manuellement des bases de données HEX sur des sites tels que :
Wikipedia Table des signatures de fichiers
La base de données File-Extensions.org contient également des informations sur les codes HEX, mais seulement pour les types de fichiers les plus courants.
Juste un exemple pour tous. Sur notre capture d'écran ci-dessous, vous pouvez voir le bloc de code HEX FF D8 FF E0 au début, typique des images JPEG, même si le fichier que nous avons ouvert avec FileAlyzer était un .dat et non un .jpg.
Autre chose intéressante à propos de l'analyse de fichiers : FileAlyzer affiche aussi des onglets supplémentaires (Bitmap, Image, EXIF, etc.) liés aux formats graphiques. Cela confirme que notre fichier exemple était en effet une image JPEG classique dont l'extension a été renommée de jpg en dat.
Évidemment, vous pouvez utiliser n'importe quel visualiseur HEX que vous souhaitez, mais FileAlyzer a un potentiel bien plus grand pour vous aider à identifier vos fichiers inconnus.
Conclusion
Comme vous pouvez le voir, les trois méthodes pour identifier des fichiers inconnus sont viables, mais chacune peut être utile dans un scénario un peu différent et fournit un ensemble d'indices différent pour identifier avec succès des types de fichiers inconnus.
Parfois, vous aurez juste un peu de chance partielle et devrez résoudre le puzzle morceau par morceau jusqu'à ce que vous découvriez enfin de quel type de fichier il s'agit.