Вы используете устаревший браузер!

Страница может отображаться некорректно.

СпецНаз (специальные названия)

СпецНаз (специальные названия)

Другие выпуски этой рубрики (34)
  • добавить в избранное
    Добавить в закладки

Против бомб есть Dr.Web

Прочитали: 2223 Комментариев: 65 Рейтинг: 57

Архивирование файлов может быть удобным не только для обычных пользователей, но и для киберпреступников.

Мы уже писали о так называемых zip-бомбах в выпусках «Бомбы и эволюция» и «Вот это бомба!». Напомним, что это такое.

Это архивные файлы формата .zip, которые при распаковке многократно увеличиваются в размере. Например, одна из самых известных зип-бомб под названием 42.zip имеет размер всего 42 КБ, при этом внутри архива содержится 5 слоёв вложенных архивов по 16 файлов на уровень. Размер каждого файла на последнем уровне — 4,3 ГБ, а весь архив в распакованном виде занимает 4,5 петабайта.

#drweb

Источник

Примитивной бомбой может быть, например, файл из многократно повторенных единиц. А архив – это по сути маленький файлик с указанием, что число 1 надо записать в файл очень много раз. В итоге архив маленький, а сам файл огромный. Всё просто.

Но это простейшая реализация. Недавно появилась реализация посложнее.

В этой статье показано, как создать нерекурсивную zip-бомбу. Она работает путём перекрытия файлов внутри zip-контейнера, чтобы ссылаться на «ядро» сильно сжатых данных в нескольких файлах, не делая несколько копий. Выходной размер zip-бомбы растёт квадратично от входного размера; т. е. степень сжатия улучшается при увеличении размера бомбы.

Источник

Как известно, антивирус обязан распаковать всё и вся и до конца.

Надо сразу помечать такой файл как вредоносный и удалять. Легальных файлов там точно не будет.

Если антивирус не будет полностью распаковывать архивы, то вредоносные файлы можно будет передать на атакуемый компьютер, спрятав на глубоком уровне распаковки.

Тавис Орманди указывает, что в VirusTotal для zblg.zip есть ряд таймаутов (скриншот от 6 июня 2019 года): AhnLab-V3, ClamAV, DrWeb, Endgame, F-Secure, GData, K7AntiVirus, K7GW, MaxSecure, McAfee, McAfee-GW-Edition, Panda, Qihoo-360, Sophos ML, VBA32. Результаты для zbsm.zip (скриншот от 6 июня 2019 года) похожи, но с другим набором движков, выпавших в таймаут: Baido, Bkav, ClamAV, CMC, DrWeb, Endgame, ESET-NOD32, F-Secure, GData, Kingsoft, McAfee-GW-Edition, NANO-Antivirus, Acronis.

Что ж. Давайте проверим!

Внимание! В комментариях к упомянутой статье читатели отмечают, что ряд браузеров сразу начинает распаковывать архивы. Что, по понятным причинам, чревато.

Скачал самый маленький файл на 5GB, Chrome тут же начал его распаковывать, хотя его об этом не просили.

А я скачал. Хром просто наглухо повесил диск C и угомонился, только когда я его застрелил.

То же самое, только Яндекс-Браузер.

Vivaldi тоже не может никак осилить. Грузанул полностью одно ядро на обработку и висит.

А вот Edge справился без проблем.

Мы скачали файлы с помощью Firefox.

В статье предложено три варианта новых бомб:

  • zbsm.zip 42 KB → 5.5 GB
  • zblg.zip 10 MB → 281 TB
  • zbxl.zip 46 MB → 4.5 PB (Zip64, менее совместима с парсерами)

Проверим их по очереди.

#drweb

Для всех архивов результаты приводить не будем. Вот результат для zbsm:

#drweb

В одном архиве даже нашелся вирус:

#drweb

Никаких зависаний не отмечено.

#бомба

Dr.Web рекомендует

Пользуйтесь антивирусом Dr.Web – он проверяет даже файлы, спрятанные под неизвестными упаковщиками. Нас бомбами не сломать!

Получайте Dr.Web-ки за участие в проекте

Каждая активность = 1 Dr.Web-ка

Оцените выпуск

Сделайте репост

Поставьте «Нравится»

Чтобы получать награды надо войти на страницу выпуска через аккаунт на сайте «Доктор Веб» (или создать аккаунт). Аккаунт должен быть связан с вашим аккаунтом в социальной сети. Видео о связывании аккаунта.


Нам важно ваше мнение

10 Dr.Web-ок за комментарий в день выхода выпуска или 1 Dr.Web-ка в любой другой день. Комментарии публикуются автоматически и постмодерируются. Правила комментирования новостей «Доктор Веб».

Чтобы оставить комментарий, нужно зайти через свой аккаунт на сайте «Доктор Веб». Если аккаунта еще нет, его можно создать.

Комментарии пользователей


 
На страницу: