El encadenamiento de archivos ZIP es una técnica que los ciberdelincuentes están utilizando para intentar ocultar malware y dificultar su detección por algunas herramientas de seguridad.
Según informa ADSLZone, el equipo de seguridad de Perception Point ha detectado campañas que aprovechan las diferencias en la forma en que determinadas aplicaciones procesan los archivos ZIP.
¿En qué consiste el encadenamiento de archivos ZIP?
Esta técnica consiste en concatenar varios archivos ZIP para crear un único archivo que contiene diferentes estructuras comprimidas. El objetivo es aprovechar que no todas las herramientas interpretan el archivo resultante de la misma manera.
Así, una aplicación puede mostrar unos archivos mientras otra detecta contenido diferente. Los ciberdelincuentes pueden aprovechar estas diferencias para ocultar archivos maliciosos y aumentar las posibilidades de que pasen desapercibidos durante determinados análisis de seguridad.
La víctima puede recibir el archivo mediante un correo electrónico u otro medio y encontrar contenido aparentemente legítimo al abrirlo con una determinada herramienta. Sin embargo, otra parte del archivo puede contener la carga maliciosa.
Cómo responden los programas a los ZIP encadenados
Las pruebas realizadas por Perception Point muestran diferencias en la forma de interpretar estos archivos dependiendo del programa utilizado:
- WinRAR: puede leer las diferentes estructuras ZIP concatenadas y mostrar el contenido incluido en ellas.
- Explorador de archivos de Windows: puede tener dificultades para procesar correctamente este tipo de archivos.
- 7-Zip: puede mostrar únicamente una de las estructuras ZIP y advertir de la existencia de datos adicionales.
Estas diferencias son precisamente las que permiten utilizar el encadenamiento de archivos ZIP como técnica para intentar evadir determinados sistemas de detección.
Cómo reducir el riesgo al recibir archivos ZIP
El principal riesgo no está en utilizar archivos ZIP, sino en abrir contenido de procedencia desconocida o ejecutar archivos maliciosos incluidos en ellos.
Para reducir las posibilidades de infección, es recomendable:
- Comprobar el origen del archivo antes de descargarlo o abrirlo.
- Desconfiar de archivos comprimidos inesperados recibidos por correo electrónico o mensajería.
- Mantener actualizado el sistema operativo y las herramientas utilizadas para abrir archivos comprimidos.
- Utilizar soluciones de seguridad actualizadas que puedan analizar los archivos antes de ejecutarlos.
- No ejecutar archivos desconocidos aunque se encuentren dentro de un ZIP aparentemente legítimo.
El encadenamiento de archivos ZIP muestra cómo los atacantes pueden aprovechar diferencias entre aplicaciones para intentar ocultar contenido malicioso. Revisar la procedencia de los archivos y evitar ejecutar contenido sospechoso sigue siendo fundamental para reducir el riesgo.