Ondsindede vedhæftninger: hvad der sikres på endpointet

Forside › Undersøgelse efter et hackerangreb · Gennemgået oktober 2026 · Af John Nielsen

Når en medarbejder har åbnet en ondsindet vedhæftning, skal undersøgelsen besvare tre spørgsmål: Blev filen faktisk åbnet, blev der kørt kode som følge af det, og hvad gjorde den kode bagefter? Svarene findes på computeren i procesforløb, Office-artefakter, filsystemets spor af downloadede filer og EDR-telemetri, og i hukommelsen, hvis koden stadig kører. Sikringen skal ske, før antivirus fjerner filen, og før computeren geninstalleres, fordi oprydningen fjerner netop de spor, der viser forløbet.

Haster det? Kørende processer og netværksforbindelser forsvinder ved genstart, og antivirus kan fjerne filen inden for minutter. Se akut forensisk sikring; hastesager koster ekstra.

Selve mailen og vedhæftningen sikres som beskrevet i Phishing-analyse: sikring af mail, link og landingsside. Her handler det om computeren.

Første beslutning: isolér, ikke sluk

Hvis der er mistanke om, at kode kører, er hukommelsen den mest flygtige kilde. Slukkes computeren, forsvinder kørende processer, netværksforbindelser og eventuelle nøgler i hukommelsen. Den sædvanlige anbefaling er at isolere computeren fra netværket, fx via EDR’s isoleringsfunktion, og lade den køre, indtil hukommelsen og de flygtige data er sikret. Afvejningen mellem at bevare og at begrænse skaden er beskrevet i Sluk, isolér eller lad den køre?

Notér tidspunktet for isolering, og hvem der gjorde det. Isoleringen ændrer computerens tilstand og skal fremgå af tidslinjen.

Kilderne på computeren

Procesforløb

Det centrale spor er kæden af processer: Mailklienten starter et Office-program eller en anden fremviser, som igen starter en underproces, fx en kommandofortolker eller et script. En sådan kæde er sjældent normal og er ofte det klareste tegn på, at vedhæftningen har kørt kode.

Kæden findes i:

EDR-telemetri, der typisk har processer med forælder, kommandolinje, hashværdi, bruger og tidspunkt. → EDR-telemetri som bevis
Windows’ sikkerhedslog, hvis logning af procesoprettelse var slået til, med eller uden kommandolinje.
Sysmon, hvis det var installeret. → Sysmon som forensisk datakilde
PowerShell-logs, der kan bevare scriptindhold.

Mangler både EDR og procesoprettelseslogning, må forløbet rekonstrueres ud fra indirekte spor som Prefetch og Amcache. → Prefetch, Amcache og Shimcache

Hvor vedhæftningen blev gemt

Når en vedhæftning åbnes fra den klassiske Outlook, gemmes en midlertidig kopi i en skjult mappe under brugerprofilen. Mappens sti står i registreringsværdien OutlookSecureTempFolder og er typisk en tilfældigt navngivet undermappe til Content.Outlook i browserens cachemappe. Kopien kan blive liggende, også efter at mailen er slettet. Den nye Outlook håndterer vedhæftninger anderledes, så undersøg i hvert tilfælde, hvor filen faktisk blev lagt. Gemmes vedhæftningen først i Overførsler eller på skrivebordet, ses den i filsystemet med egne tidsstempler.

Filer, der kommer fra internettet eller fra mail, får ofte en markering af oprindelse i en alternativ datastrøm, kendt som Mark of the Web. Den viser, at filen kom udefra, og kan indeholde den adresse, den blev hentet fra. Arkiver og diskbilleder har været brugt til at undgå markeringen, så fravær af den udelukker ikke, at filen kom fra mailen. → Downloads og Mark of the Web

Office-artefakter

Seneste filer og MRU-lister i registreringsdatabasen og jump lists viser, at et dokument er åbnet, og hvornår.
Betroede dokumenter: Når brugeren klikker på “Aktivér indhold” eller “Aktivér redigering”, kan Office registrere dokumentet som betroet i brugerens registreringsdatabase med et tidsstempel. Det er et stærkt spor for, at makroer eller aktivt indhold blev tilladt. Posterne ligger under nøglen TrustRecords. Bemærk, at Office på Windows siden 2022 som standard blokerer makroer i filer fra internettet uden en knap til at aktivere dem. Her skal brugeren i stedet fjerne markeringen af oprindelse i filens egenskaber, og sporet er så, at markeringen mangler.
Office-advarsler logges i en separat hændelseslog, som kan vise sikkerhedsdialoger, brugeren har set.
LNK-filer for åbnede dokumenter.

Det, der kom bagefter

Har koden kørt, efterlader den typisk spor af fastholdelse og netværkskontakt:

nye planlagte opgaver, tjenester eller autostart-poster,
nye filer i brugerens profil eller midlertidige mapper,
netværksforbindelser til ukendte adresser i EDR, firewall eller DNS,
logins eller tokens fra den pågældende computer til cloudtjenester.

Gennemgang af autostart-steder er beskrevet i Autostart, planlagte opgaver og tjenester.

Andre typer vedhæftninger

Office-dokumenter er kun én type. Sporene afhænger af filtypen:

HTML-vedhæftninger åbnes i browseren og kan bygge en fil lokalt eller sende brugeren videre til en falsk loginside. Sporene ligger i browserhistorik, cache og overførsler frem for i Office.
Arkiver og diskbilleder pakkes ud eller monteres, og indholdet kører derfra. Montering af et diskbillede kan ses i systemets logs, og de udpakkede filer har egne tidsstempler.
Genveje og scriptfiler kører direkte via Windows’ egne programmer. Procesforløbet og Prefetch er her de vigtigste spor.
PDF-filer indeholder oftere et link end skadelig kode, og sporet fører så videre til browseren.

Spørg derfor altid først, hvilken filtype vedhæftningen var, og tilpas indsamlingen.

Andre computere og brugere

Vedhæftningens hashværdi kan søges i EDR på tværs af alle computere. Det viser, hvor filen findes, og om den er åbnet andre steder. Søg også på navne og hashværdier for de filer, vedhæftningen eventuelt hentede eller skabte, og på de netværksadresser, den kontaktede. Fund på andre computere skal sikres efter samme metode, før de renses, og omfanget skal kobles sammen med listen over modtagere af mailen.

Sikring i praksis

Isolér computeren og notér tidspunktet.
Sikr hukommelsen, hvis computeren kører.
Indsaml flygtige oplysninger: processer, netværksforbindelser, indlæste moduler, logget-ind brugere.
Tag en forensisk kopi af disken, eller en målrettet indsamling af de relevante artefakter, hvis en fuld kopi ikke er mulig.
Eksportér EDR-telemetri for computeren for en periode, der begynder før mailen blev modtaget.
Først derefter: scanning, rensning og geninstallation.

Er computeren allerede renset, kan EDR-telemetri og centrale logs stadig give en del af forløbet, og backup eller skyggekopier kan indeholde ældre tilstande.

Mac og mobil

På en Mac gælder samme principper, men artefakterne er andre: karantænemarkering af downloadede filer, Unified Logs og programmernes egne lister over seneste filer. På telefoner åbnes vedhæftninger i en sandkasse, og risikoen ligger oftere i et link til en falsk loginside end i kode, der kører. Her er loginloggen for kontoen typisk vigtigere end telefonen selv. → macOS-artefakter

Fejlkilder

Antivirus fjerner filen og dermed det mest direkte spor. Karantænen kan dog ofte stadig indeholde filen og en log over fundet.
Forhåndsvisning i Outlook eller Stifinder kan indlæse en fil uden, at brugeren aktivt åbner den. Det er ikke det samme som at køre kode, men det kan give spor, der ligner en åbning.
Beskyttet visning åbner dokumenter i en isoleret tilstand; en åbning der giver ikke nødvendigvis kørsel af makroer.
Sikkerhedsprodukters egen analyse kan åbne filen i en sandkasse og give processpor på serversiden, ikke på brugerens computer.
Tidsstempler ved kopiering fra mail til disk følger andre regler end ved download.

Hvad sporene kan og ikke kan bevise

Sporene kan typisk vise, at en bestemt fil blev åbnet af en bestemt bruger på et bestemt tidspunkt, om aktivt indhold blev tilladt, og hvilke processer der fulgte. Med EDR-telemetri kan de ofte vise, hvad koden gjorde. De kan ikke alene vise, om data blev sendt ud, medmindre der er netværksspor af det, og de kan ikke vise, hvad brugeren forstod af advarslerne.

Dokumentation

Rapporten bør beskrive sikringsmetode og rækkefølge, isoleringstidspunkt, hashværdier af vedhæftningen og af de sikrede data, procestræet med kilde for hver post og de artefakter, der viser åbning og tilladelse af indhold. Angiv tydeligt, hvilke kilder der manglede, fx fordi procesoprettelse ikke blev logget.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Undersøgelse efter et hackerangreb

Læs også: Hvem modtog og klikkede? Omfanget af en phishingkampagne · QR-koder og delte dokumenter som phishing: særlige spor

→ Undersøgelse efter et hackerangreb · Haster det? Forensisk sikring (hastesager koster ekstra) · For IT-sikkerhed og SOC · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik