🔴 یک روش جدیدی با عنوان Zombie ZIP توسط محقق امنیتی Chris Aziz معرفی شده که امکان جلوگیری از شناسایی پیلودها توسط آنتی ویروس ها و EDRها رو به مهاجم میده.

فایلهای ZIP از دو بخش هدر و داده تشکیل میشن. بخش هدر که اطلاعاتی در خصوص اندازه، نوع فشرده سازی و ... رو میده و داده ها هم که همون فایل اصلی فشرده شده هستن. برنامه ها با بررسی هدر، اطلاعاتی رو بدست میارن و از طریق این اطلاعات میتونن بخش داده رو استخراج کنن.

اگه روش فشرده سازی برابر 0 (STORED) باشه، یعنی فایل فشرده نشده و بنابراین آنتی ویروسها بدون باز کردن فایل، میان اون رو اسکن میکنن. این اعتماد به هدر، در حقیقت اساس این تکنیک هستش. مهاجم میتونه یک فایل فشرده ایجاد کنه. در هدر مقدار متد رو به 0 تغییر بده. آنتی ویروس وقتی با این فایل مواجه میشه، فکر میکنه فایل فشرده نشده اما در حقیقت توسط الگوریتم استاندارد DEFLATE فشرده شده. در نتیجه وقتی اون رو اسکن میکنه، امضای خاصی از بدافزار رو پیدا نمیکنه.

این روش یک مشکل داره، ابزارهای معمولی مانند 7ZIP، WinRAR هم به هدر اعتماد میکنن. وقتی میبینن روش فشرده‌سازی STORED است، سعی میکنن داده رو بدون فشرده‌سازی خارج کنن. اما چون داده در واقع فشرده شده، این کار باعث ایجاد خطا و خرابی میشه. برای اینکه این خطا حتماً رخ بده، محقق مقدار CRC رو طوری تنظیم کرده که با داده‌ی فشرده‌نشده همخوانی داشته باشه. به همین دلیل، ابزارهای معمولی فایل رو خراب گزارش میدن.

خب الان مهاجم یک فایل مخربی رو داره که توسط آنتی ویروس شناسایی نمیشه و توسط ابزارهای معمول خراب تشخیص داده میشه. بنابراین تنها کاری که میمونه این هستش که یک لودر بنویسه که بدون توجه به هدر، داده ها رو از طریق الگوریتم DEFLATE استخراج کنه.

این تکنیک در برابر ۵۰ مورد از ۵۱ موتور آنتی‌ویروس در VirusTotal جواب داده.

برای این تکنیک شناسه ی CVE-2026-0866 رو اختصاص داده بودن که بعد از بررسی های جامعه ی امنیتی، شناسه لغو شد چون یک آسیب پذیری نیست و صرفا یک تکنیک هستش.

برای PoC و اطلاعات بیشتر به گیتهاب محقق مراجعه کنید.

#ZombieZIP

@ITSecurityComputer