Zip‑бомбы: что это и как защититься

Коротко: zip‑бомба — это специально сжатый файл, который при распаковке расходует ресурсы системы и может парализовать антивирус или ОС. Не открывайте подозрительные архивы, используйте доверенное антивирусное ПО, ограничьте автоматическую распаковку и следуйте простому плану реагирования, если файл уже запущен.

Представьте: вы сидите в браузере, у вас стабильное соединение, но страницы перестают загружаться и компьютер «тормозит» — возможно, вы столкнулись с zip‑бомбой, её ещё называют декомпрессионной или «encoding» бомбой. В этой статье мы подробно разберём, что это такое, как устроены такие атаки и как на практике защитить себя и свою инфраструктуру.

Что такое zip‑бомба

Zip‑бомба — это специально подготовленный сжатый файл или пакет файлов, цель которого — при распаковке потребить чрезмерное количество дискового пространства, оперативной памяти или процессорного времени. Часто такие архивы содержат огромное количество повторяющихся данных: тёртый текст, одинаковые файлы, вложенные архивы. Иногда под «бомбой» скрываются исполняемые файлы, инсталляторы или другие форматы, замаскированные под архив.

Коротко: zip‑бомба сама по себе безопасна, пока её не распаковали. Чаще всего атаки распространяются по электронной почте, через вложения или небезопасные загрузки с сомнительных сайтов. Цель — вывести из строя антивирус или систему и дать другим вредоносным модулям возможность действовать незаметно.

Как работает zip‑бомба

На первый взгляд файл может весить несколько килобайт. Однако внутри он содержит данные, которые после распаковки занимают гигабайты, терабайты или даже петабайты и эксабайты при рекурсивной распаковке. Самый известный пример — архив “42.zip”, который занимал около 42 КБ в архиве и разворачивался в петабайты повторяющихся данных.

Механика атаки обычно такова:

• Злоумышленник отправляет архив как вложение или предлагает загрузку.
• Пользователь или автоматический сканер пытается распаковать файл.
• Процесс распаковки забирает все ресурсы: диск, память, CPU.
• В это время антивирус или защита перегружаются и не обнаруживают или не блокируют другие вредоносные компоненты.

Zip‑бомба часто используется как первая стадия многоступенчатой атаки — отвлечение или средство для обхода детектирования.

Типы zip‑бомб

Существует несколько распространённых вариантов, отличающихся по устройству и техникам сжатия.

Рекурсивные архивы

Рекурсивная бомба представляет собой набор вложенных архивов. При распаковке каждый уровень раскрывает следующий, и общий объём данных растёт экспоненциально. Пример: небольшой архив содержит 10 архивов уровня 1, каждый из которых содержит 10 архивов уровня 2 и т. д. Рекурсивные архивации легко перегружают рекурсивные алгоритмы и сканеры.

Нерекурсивные архивы с высокой степенью сжатия

Нерекурсивная бомба содержит данные, которые эффективно сжимаются алгоритмом, но после одной операции распаковки разворачиваются в гигантский объём. Такие файлы сложнее распознать по дереву вложений, потому что у них нет множества уровней.

Встраиваемые исполняемые или инсталляционные бомбы

Иногда вредоносные авторы используют формат, где распаковка автоматически инициирует выполнение или устанавливает ПО. Это смешение декомпрессии и запуска повышает риск заражения, если система имеет механизмы автозапуска для определённых расширений.

Когда zip‑бомба не работает: ограничения и исключения

Zip‑бомба не всегда достигает цели. Её эффективность зависит от среды распаковки и настроек.

• Если система ограничивает размеры распаковываемых архивов или глубину вложений, бомба может не раскрыться полностью.
• Современные антивирусы и шлюзы электронной почты часто рассчитывают потенциальный коэффициент сжатия и уведомляют до распаковки.
• Изолированная среда (песочница) и лимитированные ресурсы для рабочих процессов нейтрализуют атаку.

Таким образом, при продуманной архитектуре защиты zip‑бомба становится лишь раздражающим, но не катастрофическим фактором.

Как распознать zip‑бомбу

На глаз отличить полезный архив от бомбы трудно. Однако есть признаки, которые помогают:

• Очень маленький размер файла в сравнении с указанием содержимого.
• Архив содержит много вложений с одинаковыми именами или паттернами.
• Архивы с глубокой вложенностью (много уровней).
• Сообщения от антивируса о подозрительном коэффициенте сжатия.
• Поступление архива из неизвестного источника или неожиданное вложение в письме.

Современные почтовые шлюзы и антивирусы проверяют коэффициент сжатия и глубину вложений. Если софт сообщает об аномалии — следует удалить файл и не пытаться распаковывать.

Что делать, если вы обнаружили или открыли zip‑бомбу

Если вы не открывали файл, просто удалите его и отметьте письмо как спам. Если файл был распакован или попытка привела к зависанию системы, выполните последовательные шаги:

1. Немедленно отключите устройство от сети (Wi‑Fi, кабель). Это уменьшит риск распространения и загрузки дополнительного ПО.
2. Зафиксируйте симптомы: скриншоты, логи системы и антивируса.
3. Перезагрузите в безопасном режиме или используйте спасательный загрузочный носитель для проверки файловой системы.
4. Прополоскайте систему проверенным антивирусом с обновлёнными базами сигнатур.
5. Если автоматические средства не помогли — восстановите систему из резервной копии или выполните полный сброс к заводским настройкам.

Во многих случаях восстановление из резервной копии и последующая замена паролей — самый быстрый и надёжный путь.

Важно: не доверяйте сомнительному ПО, обещающему «автоматически очистить» систему без проверенных отзывов и репутации.

Пошаговая методика защиты и проверки (мини‑методология)

1. Контроль входящих данных: блокировать вложения архивов на почтовом шлюзе или проверять их в изолированной подсистеме.
2. Ограничение распаковки: устанавливать лимиты на максимальный объём распакованных данных и глубину вложений.
3. Контроль поведения: запускать подозрительные архивы только в песочнице с ограничениями по памяти и диск‑квотам.
4. Логирование и оповещения: настраивать оповещения при обнаружении аномального коэффициента сжатия.
5. Образовательная работа: обучать сотрудников не открывать вложения от неизвестных отправителей.

Практические настройки и примеры конфигураций

• На почтовом шлюзе: включите проверку коэффициента сжатия (compression ratio). Блокируйте вложения с коэффициентом выше заранее выбранного порога.
• На прокси или WAF: ограничьте максимальный размер распакованного контента.
• На рабочих станциях: запретите автоматическую распаковку вложений.
• Для CI/CD и серверов: выполняйте распаковку в контейнере с ограничениями cgroups (память, CPU) и квотами на диск.

Чек‑листы по ролям

Чек‑лист для обычного пользователя:

• Не открывайте вложения от неизвестных отправителей.
• Всегда сканируйте вложения перед распаковкой.
• Удаляйте подозрительные письма, не отвечайте на них.
• Храните резервные копии важных данных вне основного устройства.

Чек‑лист для системного администратора:

• На уровне почтового сервера включите проверку коэффициента сжатия.
• Настройте лимиты глубины распаковки и объёма результата.
• Проводите аудит правил автозапуска и ассоциаций файлов.
• Настройте централизованное внешнее сканирование вложений в песочнице.

Чек‑лист для SOC/инженера реагирования:

• Идентифицируйте источник распространения (почтовый ящик, URL).
• Изолируйте пострадавшие узлы и сделайте их снапшоты.
• Соберите индикаторы компрометации (IOC) и проверьте остальные системы.
• Запустите анализ памяти и сетевого трафика для поиска вторичных угроз.

Инцидентный план реагирования (runbook)

1. Обнаружение: оповещение от антивируса или пользовательский тикет.
2. Инициализация: изоляция узла от сети, отключение учётных записей на пострадавшем хосте.
3. Сбор данных: снимки памяти, логи, копии подозрительных файлов.
4. Анализ: определить, была ли это только бомба или был ущерб от вторичных модулей.
5. Восстановление: очистка, восстановление из резервной копии или переустановка.
6. Пост‑инцидентный разбор: изменить правила, добавить детекторы, провести обучение.

Тест‑кейсы и критерии приёмки

Критерии приёмки для механизма защиты:

• Система обнаруживает архив с коэффициентом сжатия > X (настраиваемый порог).
• Шлюз не допускает распаковку архива на целевой узел без прохождения песочницы.
• Песочница ограничивает распаковку объёмом и по времени, не позволяя исчерпать ресурсы.
• Оповещения генерируются для SOC при попытке распаковки аномального архива.

Тесты:

• Отправить подготовленный тестовый архив с высокой степенью сжатия и проверить, что система его блокирует.
• Произвести распаковку в ограниченной песочнице и убедиться, что квоты соблюдаются.
• Проверить генерацию и доставку оповещений и запись логов.

Альтернативные подходы и когда они применимы

• Замена распаковки на потоковую обработку содержимого — полезно, если нужно извлечь только метаданные без полной распаковки.
• Сквозная проверка целостности и подписи файлов — если вы ожидаете подписанные архивы от партнёров, подписи помогут отличать легитимные от злонамеренных.
• Использование контейнеров и виртуализации для распаковки — при отсутствии других вариантов это снижает риск поражения основной ОС.

Модель оценки риска и смягчения

Риск определяется вероятностью получения архива и способностью инфраструктуры выдержать распаковку. Смягчение включает:

• Предотвращение: фильтрация входящих вложений.
• Детектирование: мониторинг коэффициента сжатия и глубины вложений.
• Ответ: изолированная распаковка, автоматические правила удаления.

Словарь терминов (в 1 строку)

• Коэффициент сжатия — отношение исходного размера к размеру после распаковки.
• Песочница — изолированная среда для безопасного запуска и тестирования файлов.
• Рекурсивная архивация — вложение архивов друг в друга на несколько уровней.

Часто задаваемые вопросы

Как отличить обычный ZIP от zip‑бомбы?

По одному признаку нельзя. Ориентируйтесь на источник файла, коэффициент сжатия и глубину вложений. Безопаснее проверять архив в изолированной среде.

Может ли антивирус полностью защитить от zip‑бомбы?

Антивирусы помогают, но не дают 100% гарантии. Важна комбинация мер: фильтрация на уровне почты, лимиты распаковки и изоляция.

Что делать, если заражён сервер компании?

Изолируйте сервер, зафиксируйте артефакты, восстановите из проверенной резервной копии и обновите правила безопасности.

Заключение

Zip‑бомбы остаются простым, но эффективным инструментом для вывода из строя защиты или системы. Их вред ограничивается в основном влиянием на доступность и отвлечением защитных механизмов, но при плохой подготовке они могут сопровождаться более серьёзными вторичными атаками. Применяйте многослойную стратегию: предотвратить — обнаружить — изолировать — восстановить. Чёткие правила для пользователей, правильные настройки на почтовых шлюзах и песочницы для распаковки значительно снижают риск.

Короткая памятка: не открывайте подозрительные вложения, проверяйте архивы в песочнице, используйте проверенное антивирусное ПО и храните резервные копии.