看似“普通”压缩包实则隐藏恶意木马，安全公司曝光黑客利用“ZIP 串联文件”发动攻击

11 月 12 日消息，安全公司 Perception Point 报道，有黑客正在利用一种被称为“ZIP 串联文件”的复杂规避策略针对 Windows 用户发动攻击。

获悉，所谓“ZIP 串联文件”是指黑客将多个 ZIP 压缩文件合并为一个压缩包，虽然相关文件看起来和标准压缩包无异，但其实际上包含多个中心目录，每个目录指向不同的文件集，部分压缩软件实际上无法处理这种文件包，只会显示首个包文件中的内容，从而能够起到“隐藏”恶意文件效果，为黑客提供了可乘之机。

• 7zip：仅显示压缩包中的第一个 ZIP 文件内容，不过会提示用户文件末尾有多余数据；

• WinRAR：能够完整显示所有串接 ZIP 文件的内容，包括隐藏的恶意文件；

• Windows 文件资源管理器：对串接 ZIP 文件的支持较差，可能无法正确打开文件或仅显示部分内容。

安全公司表示，在其最近获悉的一起攻击中，黑客通过钓鱼邮件传播一项名为 SHIPPING_INV_PL_BL_pdf.rar 的压缩文件。该文件伪装成普通压缩包，但实际上是通过 ZIP 文件串接技术制作的压缩文件，黑客还故意将文件扩展名改为 **.rar**，误导受害者以为是 RAR 格式文件。

如果受害者使用 7zip 解压该文件，仅能看到一个普通的 PDF 文件；而使用 WinRAR 或 Windows 文件资源管理器的用户，则可能会看到隐藏的恶意可执行木马文件，如果受害者触发相关木马文件，便能够导致黑客入侵用户设备。