Zip bomb: La bomba de descompresión fatal

por Lisandro Pardo 5 octubre, 2012, 10:23 am 23 Comments

Conocemos bastante bien la cantidad y la calidad de los bichos digitales que flotan en la Web esperando a que un usuario baje la guardia para hacer estragos, pero también existen procedimientos que si bien no pueden ser calificados como malware puro, pueden tener algunos efectos bastante desagradables. Un clásico entre esos procedimientos es lo que se conoce como “bomba Zip”. A simple vista, parece un archivo comprimido común y silvestre, pero tiene el potencial de colapsar a un antivirus o de dejar sin recursos al ordenador que intenta descomprimirla.

Muchos virus vieron la luz a través de simples bromas, o como elemento en una competencia sana, pero esos ejemplos de malware suelen ser la excepción y no la regla. En estos días, cada vez que aparece una nueva alerta de malware es necesario chequear todas las medidas de seguridad disponibles en un sistema. Al mismo tiempo, otras expresiones reciente de malware han comenzado a tomarle el gusto a los dispositivos móviles, por lo tanto, la barrera entre las plataformas se está “derritiendo”. Más allá de esta situación, existen determinados mecanismos que pueden provocar un efecto similar al ataque de un malware, ya sea afectando el funcionamiento normal de un antivirus, o agotando los recursos disponibles en un ordenador.

La bomba Zip es uno de ellos. La teoría detrás de la bomba Zip es extremadamente simple: Su objetivo es provocar que el proceso de descompresión demande una considerable cantidad de tiempo, memoria RAM y espacio en disco. Uno de los ejemplos más populares de bomba Zip, y que puede encontrarse en la Web, es el archivo 42.zip. Está formado por un grupo de 16 archivos Zip, y cada uno de ellos contiene otros 16 archivos Zip, repitiendo el proceso tres veces más hasta llegar al fondo de cada raíz, donde hay un archivo con un tamaño de 4.3 GB. Al estar compuesto de datos uniformes (por ejemplo, lleno de ceros), cuando la bomba Zip es comprimida tiene un tamaño final muy pequeño, apto para una distribución rápida.

Se sabe que algunas formas de malware utilizaron bombas Zip para “noquear” al antivirus instalado en el ordenador, y una vez interrumpido su funcionamiento, comenzar la infección. Si esto les recuerda a las llamadas “bombas de e-mail”, entonces están en lo correcto, ya que una bomba Zip es considerada como una variante de esa técnica que buscaba saturar casillas de entrada y servidores POP. El valor de una bomba Zip como método de ataque (y por lo tanto, el riesgo asociado) en la actualidad es bastante bajo. Cualquier antivirus que se considere decente puede determinar casi al instante si se trata de una bomba Zip o de un archivo comprimido legítimo. Pero si decides hacer la prueba y tu solución de seguridad queda fuera de combate, deberías cambiarla de inmediato.