Новая технология «зомби-ZIP» позволяет вредоносному ПО обходить средства защиты.

[zender]

Новая технология, получившая название «Zombie ZIP», помогает скрывать вредоносный контент в сжатых файлах, специально созданных для того, чтобы избежать обнаружения системами безопасности, такими как антивирусы и продукты обнаружения и реагирования на угрозы на конечных устройствах (EDR).


Попытки извлечь файлы с помощью стандартных утилит, таких как WinRAR или 7-Zip, приводят к ошибкам или повреждению данных. Этот метод работает за счет манипулирования заголовками ZIP-архивов, чтобы обмануть механизмы анализа и заставить их рассматривать сжатые данные как несжатые.


Вместо того чтобы помечать архив как потенциально опасный, инструменты безопасности доверяют заголовку и сканируют файл так, как если бы это была копия оригинала в ZIP-архиве.


Техника «Zombie ZIP» была разработана исследователем безопасности из компании Bombadil Systems Крисом Азизом, который обнаружил, что она работает против 50 из 51 антивирусных движков на VirusTotal.


«Антивирусные движки доверяют полю ZIP Method. Когда Method=0 (STORED), они сканируют данные как необработанные несжатые байты. Но на самом деле данные сжаты методом DEFLATE, поэтому сканер видит сжатый шум и не находит никаких сигнатур», — объясняет исследователь .

Злоумышленник может создать загрузчик, который игнорирует заголовок и рассматривает архив как то, чем он является на самом деле: данные, сжатые с использованием стандартного алгоритма Deflate, применяемого в современных ZIP-файлах.


Исследователь опубликовал на GitHub экспериментальный вариант (PoC), предоставив примеры архивов и дополнительные сведения о работе метода.


Чтобы популярные инструменты для извлечения данных (например, 7-Zip, unzip, WinRAR) выдавали ошибку, исследователь утверждает, что значение CRC, обеспечивающее целостность данных, должно быть установлено равным контрольной сумме несжатого содержимого.


«Однако специально разработанный погрузчик, игнорирующий заявленный метод и осуществляющий декомпрессию в режиме DEFLATE, идеально восстанавливает полезную нагрузку», — говорит Азиз.


Вчера Координационный центр CERT (CERT/CC) опубликовал бюллетень , предупреждающий о «зомби-ZIP» и повышающий осведомленность о рисках, связанных с некорректно сформированными архивными файлами.


Хотя некорректно сформированный заголовок может ввести в заблуждение системы безопасности, агентство заявляет, что некоторые инструменты для извлечения данных все же способны корректно распаковывать ZIP-архив.

Уязвимости присвоен идентификатор CVE-2026-0866, и, по словам агентства, она аналогична уязвимости CVE-2004-0935, обнаруженной более двух десятилетий назад и затрагивающей раннюю версию антивирусного продукта ESET.


CERT/CC предлагает, чтобы поставщики инструментов безопасности проверяли поля метода сжатия на соответствие фактическим данным, добавляли механизмы для обнаружения несоответствий в структуре архива и внедряли более агрессивные режимы проверки архива.


Пользователям следует с осторожностью обращаться с архивными файлами, особенно с файлами от неизвестных контактов, и немедленно удалять их, если попытки распаковки приводят к ошибке «неподдерживаемый метод».