**Nueva técnica “Zombie ZIP” permite ocultar cargas maliciosas y evadir soluciones EDR**

—

### 1. Introducción

La ciberseguridad empresarial se enfrenta continuamente a técnicas de evasión cada vez más sofisticadas. La última amenaza identificada, denominada “Zombie ZIP”, destaca por su capacidad de ocultar cargas útiles maliciosas en archivos comprimidos diseñados específicamente para eludir la detección de soluciones de seguridad tradicionales, como antivirus y plataformas de detección y respuesta en endpoints (EDR). Esta técnica pone de manifiesto la necesidad de que los equipos de seguridad revisen y actualicen sus mecanismos de inspección de archivos comprimidos ante la evolución de los vectores de ataque.

—

### 2. Contexto del Incidente o Vulnerabilidad

El método Zombie ZIP fue descubierto tras observar campañas maliciosas que empleaban archivos ZIP manipulados para distribuir malware sin ser detectados por las soluciones de seguridad más extendidas. Esta técnica aprovecha limitaciones conocidas en la forma en que las herramientas analizan archivos comprimidos, especialmente aquellas que dependen de firmas estáticas o de la inspección superficial del contenido del archivo.

Los atacantes han recurrido históricamente a archivos comprimidos (ZIP, RAR, 7z) para empaquetar y distribuir cargas maliciosas, pero Zombie ZIP representa una evolución significativa gracias a la explotación de características poco documentadas del formato ZIP y a la manipulación de los metadatos internos del archivo.

—

### 3. Detalles Técnicos

**CVE y vectores de ataque:**
Hasta la fecha, no existe un CVE específico asignado a esta técnica, ya que explota una característica legítima del estándar ZIP y no una vulnerabilidad de implementación. El vector principal consiste en la creación de archivos ZIP con entradas mal formateadas, rutas excesivamente largas o estructuras internas poco habituales, que dificultan su desempaquetado e inspección por parte de motores AV y EDR.

**Tácticas, Técnicas y Procedimientos (TTP) según MITRE ATT&CK:**
– **T1566.001 (Phishing: Spearphishing Attachment):** El vector de entrega suele ser el correo electrónico con archivos adjuntos ZIP.
– **T1204.002 (User Execution: Malicious File):** Dependencia de la interacción del usuario para la ejecución de la carga.
– **T1027 (Obfuscated Files or Information):** Uso de técnicas de ofuscación y manipulación del formato ZIP.
– **T1036 (Masquerading):** Archivos ZIP que aparentan ser documentos legítimos para engañar a los usuarios.

**Indicadores de compromiso (IoC):**
– Archivos ZIP con entradas cuyo nombre supera los 4GB virtuales (sin ocupar espacio real).
– Hashes de archivos ZIP que, al ser extraídos, contienen payloads conocidos (Emotet, QakBot, Cobalt Strike).
– Empleo de herramientas de compresión no convencionales o scripts personalizados para crear los archivos.

**Exploits y frameworks utilizados:**
Se han observado payloads preparados para frameworks como Metasploit y Cobalt Strike distribuidos mediante esta técnica, aprovechando que el EDR puede fallar en la inspección profunda del archivo comprimido debido a la estructura anómala del mismo.

—

### 4. Impacto y Riesgos

La técnica Zombie ZIP incrementa notablemente la probabilidad de que un archivo malicioso evada las defensas perimetrales y llegue al endpoint. Según análisis recientes en entornos controlados, hasta un 80% de las soluciones antivirus analizadas no detectaron el malware incluido en los archivos ZIP manipulados. Esto supone un riesgo crítico para empresas que dependen exclusivamente de soluciones tradicionales de defensa sin mecanismos avanzados de sandboxing o análisis de comportamiento.

Entre los riesgos principales destacan:
– Compromiso de estaciones de trabajo y servidores por ejecución de malware no detectado.
– Pérdida o filtración de datos sensibles (violación del GDPR y la NIS2).
– Riesgo de despliegue lateral de amenazas como ransomware o troyanos bancarios.

—

### 5. Medidas de Mitigación y Recomendaciones

– **Actualización de soluciones de seguridad:** Priorizar la adopción de productos capaces de analizar en profundidad archivos comprimidos y detectar anomalías en la estructura ZIP.
– **Bloqueo de archivos ZIP sospechosos:** Configurar gateways de correo y proxies para bloquear o poner en cuarentena archivos ZIP con rutas o nombres excesivamente largos.
– **Concienciación y formación:** Instruir a los usuarios sobre los riesgos de abrir archivos comprimidos de fuentes no verificadas.
– **Implementación de sandboxing:** Analizar todos los archivos ZIP en un entorno aislado antes de permitir su descarga o ejecución.
– **Revisión de políticas de correo y endpoints:** Restringir la recepción y ejecución de archivos comprimidos, especialmente aquellos que contienen ejecutables o scripts.

—

### 6. Opinión de Expertos

Especialistas como Chris Morgan, analista principal de amenazas en ReliaQuest, subrayan que “Zombie ZIP pone de relieve la brecha existente entre el desarrollo de técnicas ofensivas y la capacidad de adaptación de las defensas tradicionales. La ingeniería de archivos ZIP para evadir detección es un claro ejemplo de cómo los atacantes explotan la confianza en los estándares”.

Por su parte, analistas de ESET advierten que “la evasión mediante manipulación de metadatos ZIP requiere una combinación de análisis estático y dinámico para ser detectada, algo que solo las soluciones más avanzadas están comenzando a implementar”.

—

### 7. Implicaciones para Empresas y Usuarios

Para las empresas, el uso de Zombie ZIP representa un desafío directo a la eficacia de las políticas de seguridad basadas en la inspección de archivos y la defensa perimetral. Su proliferación puede traducirse en brechas de seguridad, incidentes de ransomware y sanciones regulatorias (especialmente bajo el marco del GDPR y la nueva directiva NIS2).

Los usuarios, por su parte, vuelven a ser el eslabón más débil, ya que la técnica depende de la ejecución manual del archivo malicioso. La formación continua y la concienciación siguen siendo pilares esenciales para mitigar el impacto de estas amenazas.

—

### 8. Conclusiones

La aparición de la técnica Zombie ZIP demuestra la necesidad de adoptar una postura de defensa en profundidad, con especial foco en la inspección avanzada de archivos comprimidos y la actualización constante de las capacidades de detección. Los responsables de ciberseguridad deben revisar sus estrategias de protección y asegurarse de que sus soluciones son capaces de identificar y mitigar esta y otras técnicas de evasión emergentes, minimizando el riesgo de exposición y cumplimiento normativo.

(Fuente: www.bleepingcomputer.com)