Как работи “Zombie ZIP”
Изследователят по киберсигурност Крис Азиз от Bombadil Systems откри нова техника за скриване на зловреден софтуер в компресирани ZIP файлове, наречена “Zombie ZIP”. Тя позволява на атакуващи да създават архиви, които заобикалят антивирусни продукти и EDR решения, като ги кара да вярват, че данните са необработени и безопасни.
-
Архивите са модифицирани чрез манипулиране на ZIP заглавките.
-
Когато стандартни инструменти като WinRAR, 7-Zip или unzip се опитат да ги отворят, резултатът е грешка или повредени данни.
-
Методът работи, като в ZIP заглавката се декларира Method=0 (STORED), което кара скенерите да третират съдържанието като необработени байтове, въпреки че реално е DEFLATE компресирано.
„AV двигателите се доверяват на полето Method. Когато Method=0, те сканират данните като необработени байтове. Но данните са DEFLATE компресирани – скенерът вижда шум и не намира сигнатури“, обяснява Азиз.
Как атакуващите възстановяват payload-а
За да извлекат зловредното съдържание, атакуващите могат да използват специален loader, който игнорира декларирания метод и третира данните като реално DEFLATE компресирани. Така payload-ът се възстановява напълно, дори ако стандартните инструменти връщат грешки.
-
За да се предизвика грешка в популярните архивиращи инструменти, се използва CRC стойността на оригиналния некомпресиран файл.
-
По този начин архивът изглежда повреден за стандартните програми, но loader-ът го декомпресира коректно.
Рискове и мерки за защита
-
CVE идентификаторът на уязвимостта е CVE-2026-0866, подобна на старата уязвимост CVE-2004-0935 за ESET.
-
CERT Coordination Center (CERT/CC) публикува бюлетин, предупреждаващ за опасността от неправилно форматирани ZIP файлове.
Препоръки за потребители:
-
Подхождайте внимателно към ZIP файлове от непознати контакти.
-
Изтрийте файловете веднага, ако при опит за извличане получите съобщение за unsupported method.
-
Доставчици на сигурност трябва да проверяват съответствието между Method полето и реалните данни, да откриват структурни несъответствия и да прилагат по-агресивни режими за инспекция на архиви.
