Как заставить ZIP‑файл показывать разный контент в зависимости от используемого ZIP‑парсера.
ZIP‑архив содержит в конце спец.запись (EOCD) (начало центрального каталога (offset) и его размер (size)). Разные программы читают ZIP по‑разному: одни используют offset и видят один набор файлов, другие — рассчитывают начало каталога как конец файла (size) и видят другой набор файлов.
- Создаем специальный ZIP с «безопасным» файлом README.txt (прописан через offset, антивирус его и увидит), и вредоносным malware.exe (прописан через size и его увидит только конечный пользователь).
- Файл отправляется по почте или загружается на сайт.
- При скачивании антивирус проверяет ZIP, видит только README.txt и пропускает.
- При запуске распаковщик (встроенный распаковщик в проводнике Windows или WinRAR) использует другой способ чтения ZIP — и показывает только malware.exe.
- Пользователь запускает malware.exe - заражение.
Подробности (https://hackarcana.com/article/yet-another-zip-trick).
️
