ZIP da morte: como um simples arquivo compactado pode colapsar um PC

O formato ZIP de arquivos é muito usado para compactar ou agrupar documentos muitos grandes que, no tamanho normal, ocupariam muito espaço de armazenamento. No geral, ele consegue comprimir e expandir o conteúdo até certo limite. Mas, desde 1996, sabe-se que existem “bombas ZIP” ou, como são popularmente conhecidas, “ZIP da morte”.

São chamados assim porque são um conjunto de arquivos maliciosos que quebram o sistema com uma quantidade grandiosa de informação. Pequenos à primeira vista, eles se expandem para mais do que a plataforma pode suportar, inundando o computador com bilhões de bytes, unidade de medida usada para descrever a capacidade de armazenamento da máquina. Normalmente, um “ZIP da morte” é usado para desabilitar o antivírus e permitir que malwares se espalhem.

A ideia por trás desse ZIP é semelhante à de outros ataques de sistema. Um exemplo disso é o ataque de negação de serviço, também conhecido na sigla em inglês DoS, que torna os recursos de uma plataforma indisponíveis. Em ambos, sistema é inutilizado devido à grande quantidade de dados que ele não pode processar.

42.zip, um arquivo de aparentemente apenas 42 kB

Anúncio Patrocinado

Um “ZIP da morte” é um arquivo compactado como qualquer outro. Seu perigo potencial é que, por ser aparentemente pequeno, é muito fácil de compartilhar e esconder sua natureza maliciosa, que pode fazer o computador entrar em colapso.

A “bomba ZIP” mais conhecida é o “42.zip”. O criador do arquivo é desconhecido, mas sua proporção é impressionante. O nome tem origem no seu tamanho: ele é um arquivo com apenas 42 kilobytes (kB) de dados comprimidos. Mas, quando é descompactado, ele chega a 4,5 petabytes (PB).

Na teoria, essa expansão é simples de descrever. O arquivo contém cinco camadas com mais 16 ZIPs cada uma com arquivos da camada final pesando 4,3 gigabytes (GB) que se repetem para alcançar essa proporção. Isso se deve ao algoritmo que governa a descompressão, que permite grandes mudanças no tamanho do conteúdo. Por isso, quando é totalmente expandido, ele chega a 4,5 PB.

Veja os valores dessas medidas na tabela abaixo:

• 1 kilobyte (kB ou Kbytes) = 1024 bytes
• 1 megabyte (MB ou Mbytes) = 1024 kilobytes
• 1 gigabyte (GB ou Gbytes) = 1024 megabytes
• 1 terabyte (TB ou Tbytes) = 1024 gigabytes
• 1 petabyte (PB ou Pbytes) = 1024 terabytes

Para entender melhor, é assim que essas cinco camadas de 16 arquivos transformam o “42.zip” em um arquivo de tamanho descomunal:

• 16 x 4.294.967.295 = 68.719.476.720 (68 GB)
• x 16 = 1.099.511.627.520 (1TB)
• x 16 = 17.592.186.040.320 (17 TB)
• x 16 = 281,474,976,645,120 (281TB)
• x 16 = 4,503,599,626,321,920 (4,5PB)

O formato ZIP tem muitas variantes, mas com o passar do tempo se tornou comum baixá-lo em computadores com o Windows ou o MacOS.

Novas “bombas ZIP”: de 46MB a 4,5PB

Durante anos, o “ZIP da morte” foi usado como um malware para dar abertura a ataques hackers nos computadores. Recentemente, no entanto, foram encontrados estilos mais avançados desses ZIPs. Um deles é a “bomba ZIP infinita”, na qual o arquivo se replica na máquina. Outro foi recentemente criado pelo programador e engenheiro David Fifield.

Fifield criou um “ZIP da morte” com um sistema de expansão diferente do “42.zip”. Enquanto o anterior atinge o tamanho impressionante com base na repetição de arquivos em múltiplas camadas, este consiste em apenas um único arquivo que explode em espaço quando se descompacta.

O engenheiro mostrou ao site VICE, em reportagem publicada nesta quarta-feira (10), três arquivos de exemplo. O mais surpreendente deles transforma 46 MB em 4,5 PB – compatível apenas com o formato ZIP64.

Então, qual é a diferença entre o ZIP de Fifield e o “42.zip”, que também se expande até 4,5 PB? Com o “42.zip” é necessário descomprimir o arquivo várias vezes para ele alcançar o tamanho gigantesco, enquanto com o novo ZIP de 46 MB é preciso descompactá-lo uma única vez. Um processo simples para paralisar completamente o computador. Fifield explicou que, em vez de apostar na repetição, ele sobrepôs arquivos.

O antivírus consegue detectá-los

Como a “bomba ZIP” é uma técnica muito conhecida entre os operadores de sistema, a maior parte dos antivírus atuais consegue detectar se um arquivo ZIP é malicioso. Embora o arquivo compactado passe despercebido pela infraestrutura do PC, o pacote antivírus detecta e alerta sobre o possível perigo de segurança do conteúdo uma vez que o usuário vai descompactá-lo.

Via: Xataka

Fonte do Artigo