Hackeri majú nový spôsob, ako oklamať antivírus. Jeden ZIP archív zmiatol 50 z 51 bezpečnostných nástrojov
Špeciálne upravený ZIP archív dokáže oklamať antivírus a tvári sa ako bezpečný súbor. Bezpečnostní výskumníci upozorňujú na techniku Zombie ZIP, ktorá v teste prešla kontrolou u 50 z 51 antivírusov.
Antivírus skontroluje súbor, nič podozrivé nenájde a pustí ho ďalej. Bezpečnostní výskumníci teraz ale upozorňujú na techniku, ktorá dokáže oklamať väčšinu antivírusových nástrojov. Stačí pritom úplne obyčajný ZIP archív.
Na prvý pohľad vyzerá ako pokazený alebo prázdny súbor. Antivírus ho otvorí, skontroluje obsah a označí ho ako bezpečný. V skutočnosti sa však škodlivý kód nachádza priamo v archíve, len ho bezpečnostný systém jednoducho nevidí.
Technika dostala prezývku Zombie ZIP. Nejde pritom o nový typ vírusu ani o chybu v samotnom formáte ZIP. Ide o trik, ktorý zneužíva spôsob, akým antivírusy kontrolujú komprimované súbory.
Útočník v archíve upraví niekoľko technických údajov tak, aby bezpečnostný nástroj videl úplne iný obsah, než aký sa v súbore v skutočnosti nachádza. Antivírus tak skontroluje nesprávne dáta a archív bez problémov pustí ďalej.
Zombie ZIP oklame antivírus jednoduchým trikom v hlavičke archívu
ZIP archív nie je len obyčajný balík súborov. Na jeho začiatku je krátka technická informácia, ktorá systému hovorí, ako má s obsahom pracovať. Napríklad či je súbor komprimovaný a akým spôsobom bol zabalený.
Neprehliadni
Antivírusy tieto informácie používajú pri kontrole archívu. Problém je, že im často jednoducho veria.
Výskumník Chris Aziz zo spoločnosti Bombadil Systems ukázal, že útočník môže tieto údaje v ZIP súbore úmyselne zmeniť. Antivírus potom kontroluje úplne iný obsah, než aký sa v archíve v skutočnosti nachádza.
Archív môže napríklad tvrdiť, že súbor nie je komprimovaný. Bezpečnostný skener ho preto skontroluje ako obyčajné dáta. Lenže v realite je škodlivý kód stále zabalený klasickou ZIP kompresiou.
Pre antivírus to potom vyzerá ako náhodná zmes znakov, v ktorej nedokáže rozpoznať známky malvéru. Súbor tak prejde kontrolou ako bezpečný, hoci škodlivý kód je v ňom stále ukrytý.
Archív vyzerá ako pokazený. Väčšina programov ho nedokáže rozbaliť
Výskumník upravil v archíve ešte jeden technický detail, ktorý slúži na kontrolu správnosti dát. Ide o číslo, pomocou ktorého systém overuje, či sa súbor počas prenosu nepoškodil.
V prípade Zombie ZIP archívu je však tento údaj nastavený tak, aby zodpovedal nekomprimovanému súboru. Lenže v skutočnosti sú dáta v archíve stále komprimované. Vznikne tak zvláštny rozpor.
Keď potom takýto archív skúsiš otvoriť napríklad vo WinRAR, 7-Zip alebo inom programe, väčšinou sa objaví chybová hláška. Program oznámi poškodený archív alebo nepodporovaný spôsob kompresie.
Archív tak pri otvorení vyzerá jednoducho pokazený. Nedá sa rozbaliť a programy hlásia chybu. Presne o to útočníkovi ide. Archív je upravený tak, aby zmiatol antivírus aj programy na rozbaľovanie súborov.
Malware sa z archívu dá vytiahnuť aj bez klasického rozbalenia
Takýto archív sa pritom neotvára klasickým spôsobom. Útočník ho nerozbaľuje cez WinRAR alebo 7-Zip.
Použije vlastný jednoduchý program, ktorý ignoruje technické údaje v archíve a prečíta dáta priamo tak, ako sú v skutočnosti uložené. Výskumník ukázal, že na získanie skrytého obsahu stačí len pár riadkov kódu v Pythone. Program jednoducho použije správny spôsob rozbalenia a z archívu vytiahne celý škodlivý súbor.
Výsledok je jednoduchý. Antivírus archív označí ako bezpečný, bežný používateľ ho nedokáže otvoriť, no útočník z neho bez problémov získa skrytý malware.
Antivírus archív pustí ďalej, hoci v ňom je škodlivý kód
Pri tejto technike nejde o klasický útok priamo na používateľa. Trik je v tom, že škodlivý súbor dokáže prejsť cez bezpečnostné kontroly, ktoré by ho za normálnych okolností zastavili.
Predstav si napríklad firemný e-mail. Každá príloha sa najprv skontroluje antivírusom a ďalšími bezpečnostnými nástrojmi. Ak nájdu problém, súbor zablokujú.
Zombie ZIP archív však prejde kontrolou bez varovania. Antivírus v ňom totiž nevidí nič podozrivé a označí ho ako bezpečný. Až keď sa archív dostane do počítača obete, útočník z neho dokáže vytiahnuť skrytý škodlivý súbor a spustiť ho.
Podobný princíp používajú aj iné známe techniky, napríklad ISO alebo HTML smuggling. Útočníci jednoducho využívajú fakt, že bezpečnostné systémy nedokážu každý súbor analyzovať úplne do detailov.
Trik oklamal 50 z 51 antivírusov
Výskumník si potom overil, ako si s takýmto archívom poradia antivírusy. Súbor nahral na platformu VirusTotal, kde sa jeden súbor naraz kontroluje desiatkami bezpečnostných nástrojov.
Výsledok bol nepríjemným prekvapením. Zombie ZIP dokázal oklamať 50 z 51 antivírusov.
Medzi nástrojmi, ktoré si trik nevšimli, boli aj známe produkty ako Microsoft Defender, Avast, Bitdefender, ESET, Kaspersky, McAfee, Sophos či Trend Micro. Archív zachytil iba jeden z testovaných antivírusov, konkrétne riešenie od spoločnosti Fortinet.
Na trik už upozornili aj bezpečnostní experti
Na techniku Zombie ZIP už upozornilo aj americké centrum CERT Coordination Center, ktoré vydalo bezpečnostné varovanie. Problém dostal oficiálne označenie CVE-2026-0866.
Zaujímavé je, že podobný trik sa objavil už dávnejšie. Ešte v roku 2004 bezpečnostní výskumníci popísali zraniteľnosť CVE-2004-0935, ktorá tiež využívala upravené ZIP archívy na obchádzanie antivírusov.
Nejde teda o úplne nový problém. Skôr o starý nápad, ktorý sa v modernej podobe objavil znova.
