ZIP फ़ाइलों में वायरस? कंप्रेस्ड फ़ाइलें सुरक्षित कैसे खोलें

क्या ZIP फ़ाइलों में वायरस हो सकते हैं? कंप्रेस्ड फ़ाइलें सुरक्षित तरीके से कैसे खोलें

भारत में लाखों लोग हर दिन WhatsApp पर ZIP और RAR फ़ाइलें शेयर करते हैं — ऑफ़िस डॉक्युमेंट, फ़ोटो कलेक्शन, सॉफ़्टवेयर इंस्टॉलर। ज़्यादातर लोग बिना सोचे-समझे उन्हें खोल देते हैं। यही बात अटैकर्स को पसंद आती है। ZIP, RAR, 7z और TAR फ़ाइलें सिर्फ़ कंटेनर नहीं हैं — ये डिलीवरी मैकेनिज़्म हैं, और इनके अंदर रैंसमवेयर से लेकर ऐसे स्क्रिप्ट तक हो सकते हैं जो चुपचाप आपके सिस्टम को बदल दें।

यह गाइड बताती है कि आर्काइव फ़ाइलों में कौन से खतरे छिपे होते हैं, क्यों लोकल एंटीवायरस हमेशा काफ़ी नहीं होता, और कैसे एक ऑनलाइन सैंडबॉक्स एक्सट्रैक्टर ज़्यादातर जोखिम को आपके डिवाइस तक पहुंचने से पहले ही हटा देता है।

ZIP फ़ाइल के अंदर क्या छिपा हो सकता है

एक आर्काइव बस एक कंटेनर है। इसमें कुछ भी हो सकता है — जिसमें शामिल हैं:

• Executable फ़ाइलें — .exe, .bat, .cmd, .vbs, .ps1 फ़ाइलें जो खोलते ही कोड चलाती हैं।
• Macro वाले Office डॉक्युमेंट — एक .docx या .xlsm जो खुलते वक्त macro चलाकर बैकग्राउंड में दूसरा payload डाउनलोड करता है।
• JavaScript payloads — .js फ़ाइलें जिन्हें Windows Script Host सीधे डेस्कटॉप से चला सकता है।
• Obfuscated scripts — जानबूझकर उलझाया हुआ कोड जिसे स्टैटिक स्कैनर पहचान नहीं पाते।
• Double extension tricks — invoice.pdf.exe नाम की फ़ाइल Windows में invoice.pdf दिखती है जब extensions छिपी होती हैं (डिफ़ॉल्ट सेटिंग)। आइकन PDF का होता है। फ़ाइल executable होती है।

इनमें से किसी के लिए भी आर्काइव सॉफ़्टवेयर में कोई खामी ज़रूरी नहीं। बस फ़ाइल एक्सट्रैक्ट करके खोलना काफ़ी है।

आर्काइव फ़ाइलों के ज़रिए मैलवेयर कैसे फैलता है

WhatsApp पर शेयर होने वाले ZIP और RAR फ़ाइलों में मैलवेयर छिपाना आसान है। सामान्य तरीके:

WhatsApp और मैसेजिंग ऐप्स — "डिस्काउंट कूपन", "सरकारी योजना के फ़ॉर्म" या "Job offer documents" के नाम पर ZIP भेजे जाते हैं। कुछ मोबाइल सिक्योरिटी ऐप्स आर्काइव के अंदर नहीं देख पाते।

Phishing ईमेल — बैंक स्टेटमेंट, IRCTC टिकट या IT नोटिस के नाम पर ZIP अटैचमेंट भेजे जाते हैं। ZIP के अंदर असली फ़ाइल की जगह executable होती है।

नकली सॉफ़्टवेयर डाउनलोड — "फ्री वीडियो एडिटर" या "पेड ऐप का क्रैक" सर्च करने पर ऐसी ZIP मिलती हैं जिनमें advertised सॉफ़्टवेयर के साथ keylogger या cryptominer होता है।

Nested archives — एक ZIP के अंदर ZIP के अंदर ZIP। हर लेयर को मैन्युअली खोलना पड़ता है, जिससे ऑटोमैटिक स्कैनर थक जाते हैं।

Password-protected archives — एक ऐसा ZIP जिसका पासवर्ड उसी मैसेज में हो। एंटीवायरस encrypted आर्काइव के अंदर नहीं देख सकता। यूज़र खुद पासवर्ड डालकर स्कैनर को बेकार कर देता है।

Zip Bombs: छोटी फ़ाइल, बड़ा धमाका

Zip bomb एक ऐसा आर्काइव है जो एक्सट्रैक्ट होते वक्त बहुत बड़े आकार में बदल जाता है। सबसे मशहूर उदाहरण 42.zip है — डिस्क पर सिर्फ़ 42 किलोबाइट, लेकिन पूरी तरह एक्सट्रैक्ट होने पर लगभग 4.5 petabytes। यह किसी भी सिस्टम को क्रैश या फ़्रीज़ कर सकता है।

यह तकनीक दोहराए गए डेटा को लेयर्स में कंप्रेस करके काम करती है। कंप्रेस्ड फ़ॉर्म में एक अरब एक जैसे bytes बहुत कम जगह लेते हैं। एक्सट्रैक्ट होने पर सिस्टम उन सब के लिए memory और storage allocate करने की कोशिश करता है — एक साथ।

जो एक्सट्रैक्टर एक्सट्रैक्शन से पहले uncompressed size चेक नहीं करता, वह तब तक चलता रहता है जब तक disk या memory खत्म न हो जाए।

Path Traversal अटैक

Path traversal अटैक में आर्काइव के अंदर की फ़ाइलों के नाम ऐसे रखे जाते हैं: ../../Windows/System32/drivers/etc/hosts या ../../../.bashrc। एक कमज़ोर एक्सट्रैक्टर इस पाथ को सच मानकर फ़ाइल को उस लोकेशन पर लिख देता है — यानी जहाँ फ़ाइल होनी चाहिए थी, उससे बाहर।

सरल भाषा में: अटैकर तय करता है कि आपके सिस्टम पर फ़ाइल कहाँ जाएगी। वो सिस्टम फ़ाइलें overwrite कर सकता है, config बदल सकता है, या startup पर automatically चलने वाली जगह पर executable डाल सकता है। ZIP बिल्कुल सामान्य दिखती है। नुकसान एक्सट्रैक्शन के दौरान चुपचाप होता है।

लोकल एक्सट्रैक्शन क्यों जोखिम भरा है

जब आप लोकली कोई आर्काइव एक्सट्रैक्ट करते हैं, तो आप एक साथ तीन लेयर्स को खतरे में डालते हैं:

1. आपका फाइल सिस्टम — path traversal या auto-run scripts कहीं भी लिख सकते हैं जहाँ आपके user account को access है।
2. आपका एंटीवायरस — वो सिर्फ़ जाने-पहचाने खतरों को पकड़ता है। Obfuscated, नए या encrypted payloads अक्सर लोकल AV से बच जाते हैं।
3. आपका decompression software — WinRAR, 7-Zip या Windows के built-in extractor में unpatched vulnerabilities का असल दुनिया में फायदा उठाया जा चुका है। एक corrupted आर्काइव खोलना काफ़ी हो सकता है।

ZIP के अंदर एक फ़ाइल पर डबल-क्लिक करने से AV के रिएक्ट करने से पहले ही स्क्रिप्ट चल सकती है।

Sandboxed तरीका: फ़ाइलों को remotely प्रोसेस करें

जब आप किसी ऑनलाइन टूल से आर्काइव एक्सट्रैक्ट करते हैं, तो यह काम एक remote server पर होता है — आपके डिवाइस पर नहीं। आपका OS, फाइल सिस्टम और local apps कभी expose नहीं होते। अगर आर्काइव में zip bomb है, तो वो server के container को hit करती है। अगर executable है, तो वो एक temporary directory में रहता है जो आपके download के बाद delete हो जाती है — लोकली कभी नहीं चलता।

यह कोई जुगाड़ नहीं है — यह untrusted content और आपके local environment के बीच architecturally सही separation है।

FileCrank आपको सुरक्षित कैसे रखता है

FileCrank का extract tool इन्हीं specific खतरों को ध्यान में रखकर बनाया गया है:

• Zip bomb detection — एक्सट्रैक्शन शुरू होने से पहले uncompressed size check होती है। जो फ़ाइलें safe limits से बड़ी होतीं, उन्हें तुरंत reject किया जाता है।
• Path traversal prevention — हर output path को write करने से पहले sanitize किया जाता है। Traversal sequences (../, ..\\) को normalize किया जाता है ताकि extracted files हमेशा intended directory में रहें।
• MIME-type validation — फ़ाइल headers (magic bytes) inspect होते हैं, सिर्फ़ extensions नहीं। photo.jpg नाम की कोई Windows executable फ़ाइल header level पर detect होती है।
• Automatic cleanup — upload की गई archives और extracted files download के बाद server से delete हो जाती हैं। कुछ retain नहीं होता।
• No installation — आपके डिवाइस पर कुछ नहीं चलता। कोई browser extension नहीं, कोई desktop app नहीं, इंस्टॉल सॉफ़्टवेयर से supply-chain का कोई खतरा नहीं।

आप archives को repack भी कर सकते हैं sharing से पहले unwanted files हटाने के लिए, या files compress करके अपनी clean archives बना सकते हैं।

चेकलिस्ट: कोई भी archive खोलने से पहले

किसी भी received compressed file को extract करने से पहले ये check करें:

• क्या आपने यह फ़ाइल request की थी, या यह unexpectedly आई?
• क्या sender की identity verify है — सिर्फ़ जाना-पहचाना नाम नहीं, बल्कि verified email domain?
• क्या filename वो है जो आप expect करते थे?
• क्या archive में executables, scripts या macro वाले Office files हैं?
• क्या यह password-protected है और password उसी message में भेजा गया है?
• क्या आपने सब कुछ extract करने से पहले file list देखी है?

अगर कोई भी जवाब आपको शक में डाले, तो online extractor का इस्तेमाल करें — ताकि आप sandboxed environment में contents inspect कर सकें, लोकली कुछ भी touch करने से पहले।

अक्सर पूछे जाने वाले सवाल

क्या ZIP फ़ाइल सिर्फ़ download करने से computer infect हो सकता है? सिर्फ़ download आमतौर पर काफ़ी नहीं होता — malicious content को extract और execute करना पड़ता है। लेकिन कुछ browsers फ़ाइलें automatically extract कर देते हैं, और decompression software की vulnerabilities opening पर trigger हो सकती हैं।

Zip bomb क्या होती है और इससे कैसे बचें? Zip bomb एक ऐसी archive होती है जो extract होते वक्त बहुत बड़े size में बदल जाती है और disk या memory खत्म करके system crash कर देती है। बचाव के लिए ऐसा extractor use करें जो कोई data write करने से पहले uncompressed size check करे — FileCrank यही करता है।

क्या email से आई ZIP खोलना safe है? तभी, जब आप sender और context के बारे में sure हों। Unexpected ZIPs, same message में password वाले ZIPs, और .exe या .vbs files वाले ZIPs को suspicious मानें।

क्या antivirus ZIP के अंदर malware detect कर सकता है? ज़्यादातर modern AV unencrypted archives का content scan करते हैं। लेकिन password-protected archives, deeply nested archives, और नए या obfuscated malware अक्सर detection से बच जाते हैं।

Online extractor local software से ज़्यादा safe क्यों है? Extraction remote server पर होती है। आपका local file system और applications कभी expose नहीं होते। Zip bomb server के sandbox को hit करती है। Path traversal attempt temporary container में लिखती है। आपकी machine कभी raw extracted files नहीं देखती।