利用ZIP串联文件策略，攻击者对Windows用户传播恶意软件

发布时间：2025-11-05 10:50:17 来源：码上建站 作者：人工智能

据Cyber Security News消息，利用联文略攻网络犯罪分子正在利用一种被称为 ZIP 串联文件的串传播复杂规避策略来专门针对 Windows 用户。此方法将多个 ZIP 文件合并到一个存档中，策击使安全软件更难检测恶意内容。用户

通过利用不同的恶意 ZIP 阅读器处理串联文件的方式，攻击者可以在文档中嵌入恶意负载，软件从而逃避许多标准安全工具的利用联文略攻检测。

ZIP 串联文件是串传播指将多个 ZIP 压缩文件合并为一个文件。 虽然合并后的策击文件看起来是一个归档文件，但它实际上包含多个中心目录，用户每个目录指向不同的恶意文件集。

根据 Perception Point 的软件说法，这种技术的利用联文略攻关键在于各种 ZIP 阅读器如何解释连接结构。 有些阅读器可能只显示一个压缩包的串传播内容，而忽略其他压缩包的策击内容，从而使隐藏的恶意文件不被发现。

例如，如果两个 ZIP 文件串联在一起，其中一个包含良性内容，另一个则藏有恶意软件，服务器托管某些工具只会显示无害文件。 这种处理方式上的差异使攻击者得以隐藏其有效载荷，躲避依赖于特定 ZIP 阅读器的检测工具。

时下主流的 ZIP 阅读器（如 7zip、WinRAR 和 Windows 文件资源管理器）以不同的方式处理串联的 ZIP 文件：

7zip：使用 7zip 打开串联的 ZIP 文件时，仅显示第一个存档的内容。虽然 7zip 可能会在存档结束后发出有关额外数据的警告，但这经常被用户忽略。

WinRAR：与 7zip 不同，WinRAR 读取第二个中央目录并显示所有内容，包括任何隐藏的恶意文件。这使得它能够更有效地检测嵌入在串联档案中的威胁。

Windows 文件资源管理器：Windows 的内置存档处理程序难以处理串联的 ZIP。在某些情况下，它可能无法完全打开文件或仅显示存档的部分内容。这种不一致使得检测隐藏的威胁不可靠。

报告称，已看到有攻击者向受害者发送了一封伪装成发货通知的云南idc服务商网络钓鱼电子邮件。该电子邮件包含一个名为“SHIPPING_INV_PL_BL_pdf.rar”的 RAR 文件，但实际上是一个串联的 ZIP 存档。

钓鱼邮件

使用 7zip 打开时，文件仅显示一个看起来正常的 PDF 文档。但是，当使用 WinRAR 或 Windows 文件资源管理器打开时，隐藏的恶意可执行文件“SHIPPING_INV_PL_BL_pdf.exe”就被暴露了出来。

此可执行文件被确定为特洛伊木马恶意软件的变体，旨在自动执行恶意任务，例如下载额外的有效负载或执行勒索软件。

这种规避技术的成功在于它能够利用各种工具处理 ZIP 文件的差异，许多安全解决方案也依靠常见的 ZIP 处理程序（如 7zip 或本机操作系统工具）来扫描档案中的恶意内容。

因此，黑客越来越多地使用这种方法针对依赖某些工具的特定用户， 同时逃避其他工具的检测。

相关文章