Filsignaturer og forkerte filendelser

Forside › Analyse og fortolkning · Gennemgået oktober 2026 · Af John Nielsen

Filendelsen er kun en del af filnavnet, og den kan ændres frit. Filens egentlige type fremgår af indholdet, typisk af de første bytes, som kaldes filsignaturen eller magic bytes. En filsignaturanalyse sammenligner endelse og indhold for alle filer i en sikring og finder dem, der ikke passer sammen. Det er en hurtig og velkendt metode til at finde omdøbte filer, men den skal fortolkes med omtanke, fordi mange uoverensstemmelser har helt almindelige forklaringer.

Hvordan det virker

De fleste filformater begynder med en fast byte-sekvens, der identificerer formatet. Programmer bruger den til at genkende filer, og forensiske værktøjer bruger den til at klassificere filer uafhængigt af navnet.

PDF · 25 50 44 46, dvs. %PDF
ZIP, herunder docx, xlsx, pptx og mange andre · 50 4B 03 04, dvs. PK
Ældre Office-filer (doc, xls, ppt, msg) · D0 CF 11 E0 A1 B1 1A E1
JPEG · FF D8 FF
PNG · 89 50 4E 47 0D 0A 1A 0A
SQLite-database · Teksten SQLite format 3
MP4, MOV og HEIC · ftyp fra byte 4
Windows-program (exe, dll) · 4D 5A, dvs. MZ

Nogle formater har også en fast afslutning, fx JPEG, der normalt slutter med FF D9. Andre har signaturen et stykke inde i filen, eller deler signatur med andre formater, som når alle ZIP-baserede formater starter ens.

Beholderformater kræver et lag mere

En signatur viser den yderste struktur. Den siger ikke altid, hvad filen reelt er:

ZIP-baserede formater som docx, xlsx, odt, apk og jar har alle PK som signatur. Typen afgøres af indholdet i arkivet, fx filen [Content_Types].xml og mappestrukturen i Office-filer.
Det ældre Office-format er en beholder (Compound File Binary), der også bruges af Outlook-filer og andre programmer. Typen afgøres af strømmenes navne inde i beholderen.
ISO-medieformater deler boksstrukturen, og forskellen mellem MP4, MOV og HEIC står i ftyp-boksens brand.

Et godt analyseværktøj går derfor et lag dybere end de første bytes, og rapporten bør sige, hvilket niveau typen er bestemt på.

Metoden i praksis

Kør analysen på en verificeret kopi, aldrig på originalmediet.
Lad værktøjet klassificere alle filer efter indhold og markere filer, hvor endelsen ikke matcher, mangler eller er ukendt.
Filtrér de forventelige afvigelser fra, fx systemfiler, cachefiler og programdata, hvor endelser ofte ikke bruges.
Gennemgå resten manuelt: åbn kopien med et program til den faktiske type, se placering og tidsstempler, og beregn hashværdi.
Notér for hver relevant fil: sti, endelse, fundet type, de første bytes, hashværdi og metode.

Filsignaturer bruges også ved file carving, hvor filer genskabes fra ikke-allokeret plads (unallocated) uden filsystemets oplysninger. Der er signaturen ofte det eneste, man har. Se File carving, og om filer, hvor kun en del er bevaret, Delvist overskrevne filer.

Mange værktøjer kombinerer signaturanalysen med hashlister, så kendte systemfiler sorteres fra og kendte relevante filer markeres. Se Hashlister over kendte filer. I eDiscovery sker typebestemmelsen som en del af behandlingen af data, se Processing i eDiscovery.

Hvorfor en fil har forkert endelse

En uoverensstemmelse kan have mange forklaringer:

Programmer, der bruger egne endelser for standardformater, fx en database eller en sikkerhedskopi, der i virkeligheden er en ZIP eller SQLite.
Cachefiler og midlertidige filer uden endelse eller med et tal som endelse.
Download og vedhæftninger, hvor endelsen er sat ud fra serverens oplysninger, som kan være forkerte.
Fejl ved gendannelse, hvor en genskabt fil har fået en generisk endelse.
Bevidst omdøbning for at få en fil til at se uskyldig ud, fx et regneark omdøbt til en systemfil eller et billede.

Kun den sidste er interessant i forhold til hensigt, og den kan sjældent fastslås ud fra signaturen alene. Placering, filnavn, tidsstempler og spor efter omdøbningen, fx i NTFS-ændringsjournalen, siger mere. Bevidst skjulning af data er behandlet i Anti-forensics.

Typiske fejlkilder

Delte signaturer. En fil, der starter med PK, er ikke nødvendigvis en ZIP-fil, man kan pakke ud uden videre. Den kan være et dokument, en app eller et arkiv.
Krypterede og komprimerede filer har ofte ingen genkendelig signatur. At typen er ukendt, beviser ikke, at filen er krypteret, og at den har høj entropi, beviser ikke, at den skjuler noget.
Beskadigede filer. En fil med korrekt signatur kan stadig være delvis overskrevet. Kontrollér, at den kan åbnes, og at strukturen er hel.
Indlejrede filer. En fil kan indeholde andre filer, fx billeder i et dokument eller vedhæftninger i en mailbeholder. Signaturanalysen ser kun den yderste.
Tekstbaserede formater som CSV, JSON og logfiler har ingen fast signatur. De klassificeres ud fra indholdets mønstre, og det er mindre sikkert.
Værktøjets signaturdatabase. Resultatet afhænger af, hvilke signaturer værktøjet kender, og af versionen. Notér begge.

Hvor metoden gør en forskel

I civile sager er filsignaturanalysen sjældent hovedbeviset, men den bruges ofte som et sorteringstrin, der sikrer, at intet relevant overses. Typiske situationer er:

Søgning efter dokumenter i en sag om kopierede filer. En søgning på endelser som docx og xlsx finder ikke et regneark, der er gemt som dll eller uden endelse. Klassificering efter indhold gør.
Gennemgang af USB-drev og eksterne medier, hvor filer kan være pakket i arkiver med neutrale navne.
Billeder og video i mapper, hvor programmer gemmer miniaturer og cache under tal eller tilfældige navne. Her er afvigelsen forventelig, men indholdet kan stadig være relevant.
Mobil- og appdata, hvor databaser og plist-filer ofte ligger uden endelse, og hvor typen kun kan bestemmes ud fra indholdet.

Analysen skal også dække filer inde i arkiver og beholdere, hvis det er relevant for spørgsmålet. Ellers kan et omdøbt dokument i et ZIP-arkiv glide igennem. Skriv i rapporten, om arkiver er pakket ud rekursivt, og til hvilken dybde.

Metoden er desuden nyttig, når en part selv har leveret filer. En leverance, hvor endelser og indhold ikke passer, kan skyldes eksportværktøjet, men den kan også betyde, at filer er konverteret eller omdøbt undervejs. Spørg ind til leveringsvejen, før der drages konklusioner.

Hvad analysen kan og ikke kan bevise

Analysen kan vise, at en fil er af en anden type, end navnet antyder, og dermed at den bør gennemgås. Den kan bidrage til at finde dokumenter, der er gemt med en misvisende endelse, fx i en sag om kopierede filer. Den kan ikke vise, hvem der har omdøbt filen, hvornår det skete, eller hvorfor. Det kræver andre spor, fx filsystemets journal, brugerens seneste filer og programkørsel. Den kan heller ikke vise, at en fil uden genkendt type er skjult med vilje.

Grundbegrebet metadata, herunder forskellen på filens indhold og oplysningerne om filen, er forklaret i Hvad er metadata?.

I rapporten

Angiv værktøj, version og den signaturdatabase, der er brugt, og beskriv filtreringen. For hver relevant fil gengives sti, endelse, faktisk type, de første bytes i hex, hashværdi og tidsstempler. Skeln tydeligt mellem konstateringen “endelse og indhold passer ikke” og en vurdering af, hvorfor det forholder sig sådan.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Analyse og fortolkning

Læs også: Excel i undersøgelser: skjulte ark, formler, eksterne links og ændringer · Tilbagedaterede dokumenter: filsystemets tidsstempler mod dokumentets egne

→ Teknisk undersøgelse af dokumenter og metadata · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik