Un chercheur a publié « Zombie ZIP », une méthode simple pour modifier la première partie (l'en-tête) d'un fichier ZIP afin qu'il prétende faussement que son contenu est non compressé alors qu'il est en réalité compressé.
De nombreux antivirus se fient à cet en-tête et ne décompressent ni n'analysent correctement la charge utile réelle. Lors de tests effectués environ une semaine après la divulgation, près de 60 des 63 suites antivirus courantes n'ont pas détecté le logiciel malveillant dissimulé de cette manière ; environ 95 % des moteurs de détection l'ont laissé passer.
Zombie ZIP est essentiellement une méthode permettant de créer un fichier ZIP malformé capable de contourner la détection de la plupart des antivirus. Cette technique présente toutefois un inconvénient majeur : le fichier ZIP malformé nécessite un chargeur spécifique pour être ouvert correctement. Tout utilitaire d'archivage classique, tel que celui intégré à votre système, ne peut pas l'ouvrir. Windows Les logiciels d'extraction tels que 7-Zip, WinRAR et autres signaleront également le fichier comme étant malformé.
Cette vulnérabilité est référencée CVE-2026-0866 , bien que plusieurs chercheurs en cybersécurité contestent sa classification en tant que vulnérabilité et l'attribution d'un CVE. Le fait qu'elle nécessite un chargeur personnalisé rend son infection d'un système non compromis quasi impossible.
Cela permet toujours aux solutions anti-malware de détecter le chargeur personnalisé et tout logiciel malveillant connu une fois la charge utile correctement décompressée. Autrement dit, le contournement n'affecte que l'inspection initiale du fichier ZIP, et non l'exécution proprement dite de logiciels malveillants déjà connus.
Au fait, les produits Malwarebytes / ThreatDown ont détecté les deux fichiers.
Détails techniques
Sur leur page GitHub (actuellement bloquée par Malwarebytes Browser Guard (en raison d'un schéma risqué), les chercheurs expliquent le fonctionnement de la méthode Zombie ZIP.
En modifiant le fichier compressiontype à 0 (STORED)Les outils qui tentent de lire l'archive supposent que le contenu du fichier est simplement stocké à l'intérieur du fichier ZIP et n'est pas compressé.
« Les moteurs de véhicules autonomes font confiance au champ de méthode ZIP. »
Method=0 (STORED)Ils analysent les données sous forme d'octets bruts non compressés. Or, les données sont en réalité compressées DEFLATE ; le scanner perçoit donc du bruit compressé et ne détecte aucune signature.Le CRC est défini sur la somme de contrôle de la charge utile non compressée, créant une incohérence supplémentaire qui provoque des erreurs ou l'extraction d'une sortie corrompue par les outils d'extraction standard (7-Zip, unzip, WinRAR).
Cependant, un chargeur spécialement conçu à cet effet, qui ignore la méthode déclarée et décompresse en tant que DEFLATE, récupère parfaitement la charge utile.
La vulnérabilité réside dans le contournement des scanners : les contrôles de sécurité affirment « aucun logiciel malveillant présent » alors qu'un logiciel malveillant est présent et facilement récupérable par les outils d'un attaquant.
Didier Stevens, chercheur en sécurité publié une méthode pour examiner en toute sécurité le contenu d'un fichier ZIP zombie malformé. Une façon de repérer la manipulation consiste à comparer les champs d'en-tête du fichier ZIP. compressedsize et uncompressedsizeSi elles sont différentes, cela signifie que le fichier ZIP n'est pas réellement stocké, mais compressé.
Du signalement des menaces à leur suppression.
Les risques de cybersécurité ne devraient jamais dépasser le stade de la simple mention dans les médias. Protégez vos appareils des menaces en téléchargeant Malwarebytes dès aujourd'hui .
