{"id":33888,"date":"2026-09-18T12:15:05","date_gmt":"2026-09-18T10:15:05","guid":{"rendered":"https:\/\/www.kaspersky.de\/blog\/?p=33888"},"modified":"2026-09-18T12:15:05","modified_gmt":"2026-09-18T10:15:05","slug":"exotic-file-formats-detection-gaps-iso-one-xll-svg","status":"publish","type":"post","link":"https:\/\/www.kaspersky.de\/blog\/exotic-file-formats-detection-gaps-iso-one-xll-svg\/33888\/","title":{"rendered":"Exotische Dateien: Cyber-Bedrohungen aus unerwarteten Quellen"},"content":{"rendered":"

Angreifer entwickeln am laufenden Band neue Angriffsschemata, wie zuletzt den Diebstahl von OAuth-Token<\/a> und Angriffe auf KI-Agenten<\/a>. Die Klassiker verschwinden jedoch nie ganz aus ihrem Repertoire. Nach wie vor kann im Postfach Malware landen, die direkt an eine E-Mail angeh\u00e4ngt ist oder sich hinter einem Link versteckt. Solche Angriffe erfordern noch immer eine gewisse Kreativit\u00e4t, und in den letzten Jahren tauchen bei Angriffen zunehmend exotische Dateiformate auf. Unbekannte Formate wirken unter Umst\u00e4nden weniger verd\u00e4chtig. Und noch wichtiger: Viele EDR- und E-Mail-Sicherheitsl\u00f6sungen untersuchen solcher Formate \u00fcberhaupt nicht. Darum haben sich unbekannte Dateiformate bei der Verbreitung von Malware und dem Diebstahl von Anmeldeinformationen als \u00e4u\u00dferst effektiv erwiesen.<\/p>\n

Im Folgenden schauen wir uns Dateitypen an, die in der Erkennungsstrategie deines Unternehmens m\u00f6glicherweise eine Leerstelle darstellen, obwohl sie bei realen Angriffen durchaus vorkommen.<\/p>\n

Disk-Images<\/h2>\n

Dies ist die umfangreichste und gef\u00e4hrlichste Kategorie von Anh\u00e4ngen. Ein Disk-Image kann einen einsatzbereiten, korrekt strukturierten Satz von Dateien enthalten, der sich f\u00fcr verschiedene Angriffsszenarien eignet. Es wird als separates Volume (eigenst\u00e4ndiges virtuelles Laufwerk) eingebunden, h\u00e4ufig mithilfe integrierter Tools des Betriebssystems. Das Opfer muss nichts extrahieren und auch keine verd\u00e4chtigen Ordner auf der Festplatte erstellen.<\/p>\n

ISO ist das vielseitigste Format und stammt aus einer Zeit, in der Multimedia-CDs boomten. ISO-Images werden nativ und ohne zus\u00e4tzliche Dienstprogramme auf allen g\u00e4ngigen Betriebssystemen eingebunden, sei es durch einfache Tools wie den Datei-Explorer oder \u00fcber die Befehlszeilenschnittstelle. Genau aus diesem Grund h\u00e4ngen Angreifer ISO-Dateien gerne an E-Mails dran<\/a>.<\/p>\n

Etwas seltener sind IMG-Container. Auch sie werden bei macOS oder Linux ohne zus\u00e4tzliche Tools aktiviert. Unter Windows erfordern sie die Installation eines kleinen, kostenlosen Programms (z.\u00a0B. OSFMount) oder verwenden WSL2 (Windows Subsystem for Linux), das in neueren Windows-Versionen integriert ist. Eine Datei mit identischem Inhalt kann auch die Erweiterung DD besitzen.<\/p>\n

Angreifer verwenden auch VHD<\/a>, ein Windows-eigenes virtuelles Disk-Format, das meist auch auf Linux-Computern funktioniert (via qemu-nbd oder guestmount). Unter macOS ist ein zus\u00e4tzliches Dienstprogramm erforderlich (beispielsweise qemu-nbd), um das Image zu aktivieren. Achtung! Auf ungepatchten Windows-Systemen finden Angreifer nach dem Einbinden des Images einen gedeckten Tisch vor: Die Schwachstelle CVE-2025-24993<\/a>, die bei realen Angriffen aktiv ausgenutzt wird, l\u00f6st den b\u00f6sartigen Code sofort aus, nachdem das Image eingebunden wurde.<\/p>\n

Der Vollst\u00e4ndigkeit erw\u00e4hnen wir auch VMDK, das Disk-Image-Format von VMware. Bei Angriffen auf gew\u00f6hnliche Nutzer ist es allerdings weitgehend wirkungslos, da alle g\u00e4ngigen Betriebssysteme zus\u00e4tzliche Software ben\u00f6tigen, um es einzubinden.<\/p>\n

Alle genannten Image-Formate k\u00f6nnen nicht nur mit speziellen Tools, sondern auch mit Standard-Archivierungsdienstprogrammen (7-Zip oder RAR) angezeigt und entpackt werden. Nicht zuletzt darum ist die Wahrscheinlichkeit, dass Nutzer auf solche K\u00f6der hereinfallen, ziemlich hoch.<\/p>\n

Image-Dateien sind nicht nur ein relativ unbekanntes, potenziell gef\u00e4hrliches Format, sondern bieten Angreifern einen weiteren Vorteil: Dateien, die unter Windows aus Disk-Images extrahiert wurden, haben h\u00e4ufig kein Mark of the Web\u00a0(MoTW) und k\u00f6nnen daher ohne weitere Systemwarnungen gestartet werden.<\/p>\n

Noch ein Grund, warum EPP\/EDR<\/a>-L\u00f6sungen bei virtuellen Maschinen und Disk-Images kein Auge zudr\u00fccken d\u00fcrfen: Diese Formate werden auch in sp\u00e4teren Angriffsphasen eingesetzt. Manche Ransomware-Banden f\u00fchren beispielsweise die Verschl\u00fcsselung komplett in einer auf dem angegriffenen Computer installierten virtuellen Maschine aus, damit \u00dcberwachungs-Tools die Aktivit\u00e4t im Dateisystem nicht bemerken. Der Ransomware-Stamm RagnarLocker nutzte zu diesem Zweck VirtualBox<\/a>. Die CRON#TRAP-Kampagne st\u00fctzte sich dagegen auf eine QEMU-Umgebung<\/a>.<\/p>\n

MS Office-Dateien<\/h2>\n

Hier geht es nicht etwa um DOC-Dateien mit Makros. Microsoft hat diese uralte Angriffsmethode mittlerweile gr\u00fcndlich satt. Darum werden Makros in heruntergeladenen Dokumenten inzwischen vollst\u00e4ndig blockiert<\/a> und k\u00f6nnen nur unter ziemlichem Aufwand aktiviert werden. Daf\u00fcr verwendet Office Dutzende von Dateiformaten, darunter auch relativ seltene, die von Angreifern immer wieder gerne ausgenutzt werden.<\/p>\n

Ein Beispiel sind OneNote-Dateien (.one), ein Format, das sowohl Nutzern als auch Sicherheitsl\u00f6sungen eher unbekannt ist. Eigentlich sind es nur einfache Notizen. Sie k\u00f6nnen jedoch eingebettete Anh\u00e4nge enthalten. Und zwar nicht nur Bilder und Links, sondern auch VBS\/WSF\/BAT-Skripte. Normalerweise wird ein Anhang innerhalb einer Notiz als Symbol angezeigt. Angreifer \u00fcberlagern ihn jedoch durch ein Bild<\/a>, das eine Nachricht mit der Schaltfl\u00e4che \u201eAnzeigen\u201c enth\u00e4lt.<\/p>\n

Auch das Excel-Add-in ist bei Angreifern ein beliebtes Office-Format. Diese Dateien verwenden die Erweiterung .xll. Eigentlich sind es aber vollwertige Dynamic Link Libraries (DLLs) f\u00fcr Windows und k\u00f6nnen daher umfangreiche Funktionen beinhalten. Die Opfer erhalten eine sch\u00e4dliche E-Mail, die wie eine Rechnung aussieht. Das Symbol deutet darauf hin, dass die Datei in Excel ge\u00f6ffnet wird. Wer die Sicherheitswarnung ignoriert, riskiert eine Infizierung mit einem Infostealer<\/a>.<\/p>\n

SVG-\u201eGrafiken\u201c<\/h2>\n

Die Beschreibung des Formats SVG (Scalable Vector Graphics) klingt v\u00f6llig harmlos. Tats\u00e4chlich sind 99\u00a0% der SVG-Dateien einfach nur Logos und Symbole f\u00fcr Benutzeroberfl\u00e4chen. Im Gegensatz zu PNG oder JPG handelt es sich bei SVG-Dateien jedoch um XML-Dokumente, die nicht nur Punkte, Linien und Farben enthalten k\u00f6nnen, sondern auch JavaScript. Was das sch\u00e4dliche Potenzial angeht, ist SVG beinahe ebenb\u00fcrtig mit einer vollst\u00e4ndigen Webseite. Bei echten Angriffen<\/a> k\u00f6nnen SVG-Dateien einen Nutzer sofort nach dem \u00d6ffnen auf eine Phishing-Seite umleiten oder die Phishing-Seite direkt rendern. Dazu wird ein Base64-codierter Block in vollst\u00e4ndiges HTML-Format verwandelt.<\/p>\n

F\u00fcr Unternehmensportale, die den Upload von Benutzerdateien zulassen, bergen SVG-Dateien ein spezielles Risiko. Wenn das Content-Sicherheitskonzept (CSP) eines Portals zu locker ist und das Hochladen einer sch\u00e4dlichen SVG-Datei zul\u00e4sst, kann das eingebettete JavaScript Cookies von der Seite stehlen, nicht autorisierte Inhalte einschleusen und \u00e4hnliche Angriffe orchestrieren.<\/p>\n

Mehrsprachige Dateien<\/h2>\n

Polyglotte Dateiformate sind an sich weniger exotisch, k\u00f6nnen jedoch mehr \u00dcberraschungen enthalten, als man auf den ersten Blick vermutet. Sie werden polyglott genannt, weil Angreifer eine Datei erstellen, die auf verschiedene Weise interpretiert werden kann: Die Datei kann beispielsweise gleichzeitig ein g\u00fcltiges ZIP-Archiv und eine g\u00fcltige ausf\u00fchrbare Datei sein. Zu welchem Zweck? Die Datei soll Sicherheitsl\u00f6sungen entgehen und den Nutzer t\u00e4uschen. \u00dcber Polyglotte haben wir in einem separaten Blog-Beitrag<\/a> berichtet.<\/p>\n

Der Hauptgewinn in unserer \u00dcbersicht geht an eine sch\u00e4dliche Kampagne, die den Infostealer IcedID verbreitet<\/a>. Die Opfer erhalten E-Mails mit einem ZIP-Anhang, aus dem ein ISO-Disk-Image entpackt wird. Daraus wird eine CHM-Datei (Windows-Hilfeformat) extrahiert, die korrekt als mshta-Anwendung (Microsoft HTML Application Host) verarbeitet wird und dann die prim\u00e4re Malware herunterl\u00e4dt.<\/p>\n

Schutz vor exotischen Dateien<\/h2>\n

Die wichtigste Voraussetzung f\u00fcr diese Angriffe ist, dass Sicherheitsl\u00f6sungen ungew\u00f6hnliche Dateiformate entweder gar nicht oder nur oberfl\u00e4chlich untersuchen. Wie l\u00e4sst sich diese Bedrohung abwehren? Beginne einfach bei deiner Infrastruktur:<\/p>\n