Рекурсивные архивы

В старые времена были популярны вирусы - рекурсивные архивы, которые распаковываются сами в себя. В основном их использовали для вывода техники их строя, а также отключения антивируса, с последующим заражением компьютера жертвы.

Опишем принцип работы рекурсивного архива на примере известного файла “42.zip”. Данный файл весит 42 килобайта, но если мы захотим разархивировать его, то столкнемся с тем, что реальный размер данного файла 4.5 петабайта. Данный архив содержит 6 вложенных слоёв, в каждом по 16 архивов, на самом нижнем слое содержится файл размером 4.3 гигабайта.

Как происходит процесс архивации 4.5 петобайта в 42 килобайта. Файл, находящийся на нижнем слое (0.dll), весит 4.3 гигабайта, такой вес выбран не с проста, данное значение соответствует верхнему пределу распаковки. Файл нижнего слоя является пустышкой, содержащий в себе какой-нибудь повторяющийся символ, пока размер файла не достигнет верхнего предела.

На иллюстрации ниже приведено содержимое файла 0.dll

Рис. 2. Содержимое файла 0.dll

Так как файл содержит в себе всего лишь один символ, то при архивации все эти символы будут заменены всего одним другим символом. Так как все данные в архиве были заменены на один символ, размер данного архива будет ничтожно мал в сравнении с не сжатым файлом. На следующем шаге создаётся 15 копий данного файла, и добавляются в один архив, но так как данные архивы — это копии, следовательно они имеют одну и ту же хэш сумму, поэтому весить они ничего не будут. Затем создаётся ещё 16 копий этого архива, и так делается 6 раз, что в итоге нас приведёт к архиву с шестью слоями. При открытии 42.zip, в нём находится 16, при открытии любого из них, в нём находится ещё 16 архивов и так далее, до нижнего слоя. Распаковка данного архива займет всю оперативную память, что приведёт к зависанию системы. Но после перезагрузки у пользователя не будет проблем. Данный файл использовался для отключения антивируса, который в свою очередь начинал сканировать данный файл и в лучшем случае отключался. Затем жертве отправляли вирус, который антивирус уже не мог проверить.