האם קבצי ZIP יכולים להכיל וירוסים? כיצד לחלץ קבצים דחוסים בבטחה

האם קבצי ZIP יכולים להכיל וירוסים? כיצד לחלץ קבצים דחוסים בבטחה

קבצים דחוסים הם חלק שגרתי מחיי היומיום הדיגיטלי בישראל. מסמכים ממשרד, מצגות, קבצים ששיתפו בקבוצת WhatsApp של העבודה — כולם מגיעים לעיתים קרובות כ-ZIP. רוב האנשים פותחים אותם בלחיצה כפולה בלי לחשוב פעמיים. בדיוק על זה סומכים התוקפים. קבצי ZIP, RAR, 7z ו-TAR אינם מכולות תמימות — הם מנגנוני הספקה, ותוכנם עשוי להיות הכל מתוכנת כופר ועד סקריפטים שמשנים בשקט את הגדרות המערכת שלכם.

מדריך זה מסביר אילו איומים מסתתרים בארכיונים, מדוע תוכנת האנטי-וירוס המקומית לא תמיד מספיקה, וכיצד שימוש בכלי חילוץ מקוון עם סביבת sandbox מסיר את רוב הסיכון לפני שקובץ כלשהו נוגע במכשיר שלכם.

מה יכול להתחבא בתוך קובץ ZIP

ארכיון הוא מכולה. הוא יכול להכיל כל דבר — כולל:

• קבצי הרצה — קבצי .exe, .bat, .cmd, .vbs, .ps1 שמריצים קוד ברגע שפותחים אותם.
• מסמכי Office עם מאקרו — קובץ .docx או .xlsm שבעת פתיחתו מפעיל מאקרו ומוריד רכיב זדוני נוסף ברקע.
• עומסי JavaScript — קבצי .js שסביבת Windows Script Host יכולה להריץ ישירות משולחן העבודה.
• סקריפטים מעורפלים — קוד שהוכן בכוונה בצורה בלתי קריאה כדי שסורקים סטטיים לא יזהו את הדפוס הזדוני.
• טריק הסיומת הכפולה — קובץ בשם חשבונית.pdf.exe מופיע ב-Windows בתור חשבונית.pdf כאשר סיומות הקבצים מוסתרות (הגדרת ברירת המחדל). הסמל נראה כמו PDF. הקובץ הוא קובץ הרצה.

אף אחד מהאיומים האלה לא מצריך פרצת אבטחה בתוכנת הארכיון. מספיק לחלץ ולפתוח את הקובץ.

כיצד תוכנות זדוניות מתפשטות דרך ארכיונים

פורמט הארכיון הוא בפני עצמו כלי לניצול פסיכולוגי. ערוצי ההפצה הנפוצים ביותר:

הודעות WhatsApp עם קבצים מצורפים — בישראל, WhatsApp הוא ערוץ תקשורת עיקרי גם בעסקים וגם בין חברים. תוקפים שולחים ZIP המתחזים למסמכים רשמיים, לינקים להורדה, או "קופונים" מקובצי קבוצות. חלק מאפליקציות האבטחה למובייל לא בוחנות את תוכן הארכיון לפני החילוץ.

דואר אלקטרוני של פישינג — הודעה המתחזה להתראת משלוח, חשבונית או הודעה ממחלקת משאבי אנוש מצרפת ZIP. הקובץ הזדוני בפנים עובר מתחת לרדאר של חלק משערי הדואר האלקטרוני, כי הוא אינו גלוי לפני החילוץ.

ארכיונים מקוננים — ZIP בתוך ZIP בתוך ZIP. כל שכבה דורשת חילוץ ידני, מה שמתיש סורקים אוטומטיים שבוחנים רק שכבה אחת לעומק.

ארכיונים מוגני סיסמה — תוקף שולח ZIP עם סיסמה הכלולה בגוף ההודעה. הארכיון מוצפן, ולכן שום תוכנת אנטי-וירוס לא יכולה לבדוק את תוכנו. המשתמש מפענח בעצמו — ובכך מנטרל את הסורק לחלוטין.

Zip Bomb: קובץ קטן שיכול לקרוס את המערכת

Zip bomb הוא ארכיון שתוכנן להתפשט לגודל קטסטרופלי בעת החילוץ. הדוגמה המוכרת ביותר, 42.zip, תופס 42 קילובייט על הדיסק. לאחר חילוץ מלא, הוא מגיע לכ-4.5 פטבייט — מספיק כדי למלא אלפי כוננים קשיחים ולקרוס כל מערכת שמנסה לעבד אותו ללא הגנה.

הטכניקה פועלת על ידי דחיסת שכבות של נתונים חוזרים. בצורה דחוסה, רצף של מיליארד בייטים זהים כמעט ולא תופס מקום. בעת החילוץ, המערכת מנסה להקצות זיכרון ולכתוב קבצים עבור כל אלה בו-זמנית.

תוכנת חילוץ שלא בודקת את הגודל הלא-דחוס לפני חילוץ פשוט תמשיך לרוץ עד שהדיסק או הזיכרון יתרוקנו.

מתקפות Path Traversal

מתקפת path traversal משכנת שם קובץ זדוני ישירות בתוך הארכיון. במקום document.txt, ערך עשוי להיקרא ../../Windows/System32/drivers/etc/hosts או ../../../.bashrc. תוכנת חילוץ פגיעה עוקבת אחרי הנתיב כפשוטו — וכותבת את הקובץ מחוץ לתיקיית החילוץ המיועדת.

במילים פשוטות: התוקף שולט היכן הקובץ מוצב במערכת הקבצים שלכם. הוא יכול לדרוס קבצי מערכת, להחליף קבצי תצורה, או להפיל קבצי הרצה במיקומים שפועלים אוטומטית בהפעלה. הארכיון נראה כמו ZIP רגיל לחלוטין. הנזק מתרחש בשקט במהלך החילוץ.

מדוע חילוץ מקומי מסוכן

כאשר אתם מחלצים ארכיון באופן מקומי, אתם חושפים שלוש שכבות של המערכת שלכם בו-זמנית:

1. מערכת הקבצים — path traversal או סקריפטים עם הרצה אוטומטית יכולים לכתוב בכל מקום שחשבון המשתמש שלכם ניגש אליו.
2. האנטי-וירוס — הוא מזהה רק מה שהוא מכיר. עומסים מעורפלים, חדשים או מוצפנים עוקפים באופן קבוע את האנטי-וירוס המקומי.
3. תוכנת הדחיסה — פרצות שלא תוקנו ב-WinRAR, ב-7-Zip או בכלי החילוץ המובנה של Windows נוצלו בפועל. פתיחת ארכיון מזויף עלולה להיות מספיקה.

לחיצה כפולה שגויה אחת על קובץ בתוך הארכיון יכולה להריץ סקריפט לפני שלאנטי-וירוס יש הזדמנות להגיב.

הגישה עם Sandbox: עיבוד קבצים מרחוק

כאשר אתם מחלצים ארכיון דרך כלי מקוון, החילוץ מתרחש על שרת מרוחק — לא במכשיר שלכם. מערכת ההפעלה שלכם, מערכת הקבצים שלכם והאפליקציות המקומיות שלכם לעולם לא נוגעות בתוכן. אם הארכיון מכיל zip bomb, היא פוגעת במיכל על השרת. אם הוא מכיל קובץ הרצה, הוא שוכן בתיקייה זמנית שנמחקת לאחר ההורדה שלכם — ולעולם לא רץ באופן מקומי.

זה לא פתרון עוקף — זו ההפרדה הנכונה מבחינה ארכיטקטונית בין תוכן לא מהימן לבין הסביבה המקומית שלכם.

מה FileCrank עושה כדי לשמור עליכם

כלי החילוץ של FileCrank נבנה תוך התחשבות בדיוק באיומים הללו:

• זיהוי zip bomb — הגודל הלא-דחוס נבדק לפני תחילת החילוץ. קבצים שיחרגו מגבולות בטוחים נדחים מיד, לפני שנכתבים נתונים כלשהם.
• מניעת path traversal — כל נתיבי הפלט מטוהרים לפני הכתיבה. רצפי traversal (../, ..\\) מנורמלים כדי שקבצים מחולצים תמיד יישארו בתוך הספרייה המיועדת.
• אימות סוג MIME — כותרות הקובץ (magic bytes) נבדקות, לא רק הסיומות. קובץ בשם תמונה.jpg שהוא בפועל קובץ הרצה של Windows מזוהה ברמת הכותרת.
• ניקוי אוטומטי — הארכיונים שהועלו והקבצים שחולצו נמחקים מהשרת לאחר ההורדה שלכם. שום דבר לא נשמר.
• ללא התקנה — שום דבר לא רץ במכשיר שלכם. אין תוסף דפדפן, אין אפליקציית מחשב, אין סיכון שרשרת אספקה של תוכנה מותקנת.

תוכלו גם לארוז מחדש ארכיונים כדי להסיר קבצים לא רצויים לפני שיתוף, או לדחוס קבצים כדי ליצור ארכיונים נקיים בעצמכם.

רשימת בדיקה לפני פתיחת כל ארכיון

עברו על הנקודות הבאות לפני שאתם מחלצים קובץ דחוס שקיבלתם:

• האם ביקשתם את הקובץ הזה, או שהוא הגיע בהפתעה?
• האם זהות השולח מאומתת — לא רק שם מוכר, אלא דומיין אימייל שאומת?
• האם שם הקובץ תואם למה שציפיתם?
• האם הארכיון מכיל קבצי הרצה, סקריפטים או קבצי Office עם מאקרו?
• האם הוא מוגן בסיסמה שנשלחה באותה הודעה עצמה?
• האם בדקתם את רשימת הקבצים לפני שחילצתם הכל?

אם כל תשובה שהיא עוררה ספק, השתמשו בכלי החילוץ המקוון כדי לבחון את התוכן בסביבת sandbox לפני שנוגעים בקובץ באופן מקומי.

שאלות נפוצות

האם קובץ ZIP יכול להדביק את המחשב רק בעצם ההורדה שלו? הורדה בלבד בדרך כלל לא מספיקה — התוכן הזדוני חייב להיות מחולץ ומורץ. עם זאת, חלק מהדפדפנים מחלצים קבצים אוטומטית, ופרצות אבטחה בתוכנות דחיסה עלולות להיות מופעלות בעת פתיחת הקובץ.

מהי zip bomb וכיצד מגנים מפניה? Zip bomb הוא ארכיון שתוכנן להתנפח לגודל עצום בעת חילוץ, לרוקן דיסק או זיכרון עד לקריסת המערכת. ההגנה מגיעה משימוש בכלי חילוץ שבודק את הגודל הלא-דחוס לפני כתיבת נתונים — מה ש-FileCrank עושה לפני כל עיבוד.

האם בטוח לפתוח ZIP שהגיע בדואר אלקטרוני? רק אם אתם בטוחים לגבי השולח וההקשר. ZIP לא מצופה, ZIP עם סיסמה שנשלחה באותה הודעה, ו-ZIP המכיל קבצי .exe או .vbs יש לראות כחשוד.

האם תוכנת אנטי-וירוס יכולה לזהות תוכנות זדוניות בתוך ZIP? רוב תוכנות האנטי-וירוס המודרניות בוחנות את תוכן הארכיונים הלא-מוצפנים. אולם ארכיונים מוגני סיסמה, ארכיונים מקוננים עמוק, ותוכנות זדוניות חדשות או מעורפלות עוקפות לרוב את הזיהוי.

מדוע כלי חילוץ מקוון בטוח יותר מתוכנה מקומית? החילוץ מתרחש על שרת מרוחק. מערכת הקבצים המקומית שלכם והאפליקציות שלכם לעולם לא נחשפות. Zip bomb פוגעת ב-sandbox של השרת. ניסיון path traversal כותב למיכל זמני. המחשב שלכם לעולם לא רואה את הקבצים הגולמיים שחולצו.