Хакеры теперь используют объединение ZIP-файлов, чтобы избежать обнаружения.

Хакеры атакуют машины под управлением Windows, используя технику конкатенации ZIP-файлов для доставки вредоносной полезной нагрузки в сжатых архивах без обнаружения решениями безопасности.

Эта техника использует различные методы обработки ZIP-парсерами и менеджерами архивов конкатенированных ZIP-файлов.

Новая тенденция была замечена компанией Perception Point, которая обнаружила конкатенированный ZIP-архив, скрывающий троян, при анализе фишинговой атаки, которая заманивала пользователей поддельным уведомлением о доставке.

Исследователи обнаружили, что вложение было замаскировано под архив RAR, а для автоматизации вредоносных задач использовался скриптовый язык AutoIt.

Сокрытие вредоносного ПО в «битых» ZIP-файлах

Первый этап атаки - подготовка, на которой участники угрозы создают два или более отдельных ZIP-архива и прячут вредоносную полезную нагрузку в одном из них, оставляя остальные с безобидным содержимым.

Затем отдельные файлы объединяются в один путем добавления двоичных данных одного файла к другому, в результате чего их содержимое сливается в один объединенный ZIP-архив.

Хотя конечный результат выглядит как один файл, он содержит несколько ZIP-структур, каждая из которых имеет свой центральный каталог и маркеры конца.

Эксплуатация недостатков приложения ZIP

Следующий этап атаки основывается на том, как парсеры ZIP обрабатывают конкатенированные архивы. Perception Point протестировала 7zip, WinRAR и Windows File Explorer и получила разные результаты:

• 7zip читает только первый ZIP-архив (что может быть небезопасно) и может выдать предупреждение о дополнительных данных, которые пользователи могут пропустить.
• WinRAR читает и отображает обе ZIP-структуры, обнаруживая все файлы, включая скрытую вредоносную полезную нагрузку.
• Проводник Windows File Explorer может не открыть конкатенированный файл или, если он переименован с расширением .RAR, отобразить только второй ZIP-архив.

В зависимости от поведения приложения, угрожающие лица могут тонко настроить свою атаку, например, спрятать вредоносную программу в первом или втором ZIP-архиве конкатенации.

Попробовав вредоносный архив из атаки на 7Zip, исследователи Perception Point увидели, что на экране отображается только безобидный PDF-файл. Однако, открыв его с помощью проводника Windows, обнаружили вредоносный исполняемый файл.

Чтобы защититься от конкатенированных ZIP-файлов, Perception Point предлагает пользователям и организациям использовать решения безопасности, поддерживающие рекурсивную распаковку.

В целом, к письмам, прикрепленным к ZIP-файлам или другим типам архивных файлов, следует относиться с подозрением, а в критических средах следует установить фильтры, блокирующие соответствующие расширения файлов.