SIG_LFH = b“\x50\x4b\x03\x04“ # Local File Header SIG_CDH = b“\x50\x4b\x01\x02“ # Central Directory Header

def patch_flags(buf: bytes, sig: bytes, flag_off: int): out = bytearray(buf) i = 0 patched = 0 while True: i = out.find(sig, i) if i == -1: break flags, = struct.unpack_from(‘<H’, out, i + flag_off) if flags & 1: # encryption bit set struct.pack_into(‘<H’, out, i + flag_off, flags & 0xFFFE) patched += 1 i += 4 # move past signature to continue search return bytes(out), patched

if name == ‘main’: inp, outp = sys.argv[1], sys.argv[2] data = open(inp, ‘rb’).read() data, p_lfh = patch_flags(data, SIG_LFH, 6) # LFH flag at +6 data, p_cdh = patch_flags(data, SIG_CDH, 8) # CDH flag at +8 open(outp, ‘wb’).write(data) print(f’Patched: LFH={p_lfh}, CDH={p_cdh}’)

</details>

사용법:
```bash
python3 gpbf_clear.py obfuscated.apk normalized.apk
zipdetails -v normalized.apk | grep -A2 "General Purpose Flag"

이제 핵심 항목에서 General Purpose Flag 0000를 확인할 수 있으며 도구들이 APK를 다시 파싱합니다.

2) 파서를 깨뜨리는 대형/커스텀 Extra 필드

공격자들은 디컴파일러를 혼란시키기 위해 헤더에 과도하게 큰 Extra 필드와 이상한 ID를 삽입합니다. 실전에서는 JADXBLOCK 같은 문자열 형태의 커스텀 마커가 그 안에 포함된 것을 볼 수 있습니다.

검사:

zipdetails -v sample.apk | sed -n '/Extra ID/,+4p' | head -n 50

관찰된 예: 0xCAFE (“Java Executable”) 또는 0x414A (“JA:”) 같은 알 수 없는 ID가 큰 페이로드를 포함하는 사례.

DFIR heuristics:

• core 항목(classes*.dex, AndroidManifest.xml, resources.arsc)의 Extra 필드가 비정상적으로 큰 경우 경고.
• 해당 항목에서 알 수 없는 Extra ID를 의심스러운 것으로 취급.

실무적 완화: 아카이브를 재구성(예: 추출한 파일을 다시 압축)하면 악성 Extra 필드를 제거할 수 있다. 도구가 가짜 암호화 때문에 추출을 거부하면, 먼저 위와 같이 GPBF bit 0을 클리어한 뒤 재패키징:

mkdir /tmp/apk
unzip -qq normalized.apk -d /tmp/apk
(cd /tmp/apk && zip -qr ../clean.apk .)

3) 파일/디렉터리 이름 충돌 (실제 아티팩트 숨김)

ZIP에는 파일 X와 디렉터리 X/가 동시에 포함될 수 있습니다. 일부 압축 해제 도구 및 디컴파일러는 혼동하여 디렉터리 엔트리로 실제 파일을 덮어쓰거나 숨길 수 있습니다. 이는 classes.dex 같은 핵심 APK 이름과 엔트리가 충돌하는 경우에서 관찰되었습니다.

선별 및 안전한 추출:

# List potential collisions (names that differ only by trailing slash)
zipinfo -1 sample.apk | awk '{n=$0; sub(/\/$/,"",n); print n}' | sort | uniq -d

# Extract while preserving the real files by renaming on conflict
unzip normalized.apk -d outdir
# When prompted:
# replace outdir/classes.dex? [y]es/[n]o/[A]ll/[N]one/[r]ename: r
# new name: unk_classes.dex

프로그래밍 방식 탐지 사후 처리:

from zipfile import ZipFile
from collections import defaultdict

with ZipFile('normalized.apk') as z:
names = z.namelist()

collisions = defaultdict(list)
for n in names:
base = n[:-1] if n.endswith('/') else n
collisions[base].append(n)

for base, variants in collisions.items():
if len(variants) > 1:
print('COLLISION', base, '->', variants)

Blue-team 탐지 아이디어:

• 로컬 헤더가 암호화로 표시되어 있음(GPBF bit 0 = 1)에도 설치/실행되는 APK를 플래그.
• 핵심 엔트리의 큰/알 수 없는 Extra 필드(예: JADXBLOCK 같은 마커를 확인)를 플래그.
• 경로 충돌(X and X/)을 AndroidManifest.xml, resources.arsc, classes*.dex에 대해 특히 플래그.

기타 악성 ZIP 트릭 (2024–2025)

Concatenated central directories (multi-EOCD evasion)

최근 phishing 캠페인에서는 단일 블롭을 전송하는데, 실제로는 두 개의 ZIP 파일이 연결된 것이다. 각 파일은 자체 End of Central Directory (EOCD) + central directory를 가진다. 서로 다른 extractors가 서로 다른 디렉터리를 파싱한다(7zip은 첫 번째를 읽고, WinRAR은 마지막을 읽음), 공격자는 일부 도구에서만 보이는 payloads를 숨길 수 있다. 이것은 첫 번째 디렉터리만 검사하는 기본적인 mail gateway AV를 우회하기도 한다.

분류 명령

# Count EOCD signatures
binwalk -R "PK\x05\x06" suspect.zip
# Dump central-directory offsets
zipdetails -v suspect.zip | grep -n "End Central"

EOCD가 둘 이상 나타나거나 “data after payload” 경고가 있는 경우, blob을 분할하여 각 부분을 검사하세요:

# recover the second archive (heuristic: start at second EOCD offset)
# adjust OFF based on binwalk output
OFF=123456
dd if=suspect.zip bs=1 skip=$OFF of=tail.zip
7z l tail.zip   # list hidden content

Quoted-overlap / overlapping-entry bombs (non-recursive)

Modern “better zip bomb” builds a tiny 커널 (highly compressed DEFLATE block) and reuses it via overlapping local headers. Every central directory entry points to the same compressed data, achieving >28M:1 ratios without nesting archives. Libraries that trust central directory sizes (Python zipfile, Java java.util.zip, Info-ZIP prior to hardened builds) can be forced to allocate 페타바이트.

빠른 탐지 (중복된 LFH 오프셋)

# detect overlapping entries by identical relative offsets
import struct, sys
buf=open(sys.argv[1],'rb').read()
off=0; seen=set()
while True:
i = buf.find(b'PK\x01\x02', off)
if i<0: break
rel = struct.unpack_from('<I', buf, i+42)[0]
if rel in seen:
print('OVERLAP at offset', rel)
break
seen.add(rel); off = i+4

처리

• 드라이런 검사 수행: zipdetails -v file.zip | grep -n "Rel Off" 그리고 offsets가 엄격히 증가하고 중복되지 않는지 확인.
• 추출 전에 허용되는 전체 압축 해제된 크기와 항목 수를 제한하십시오 (zipdetails -t 또는 사용자 지정 파서).
• 반드시 추출해야 할 경우, CPU+disk 제한이 설정된 cgroup/VM 내부에서 수행하세요 (무제한 팽창으로 인한 충돌 방지).

참고 자료

• https://michael-myers.github.io/blog/categories/ctf/
• GodFather – Part 1 – A multistage dropper (APK ZIP anti-reversing)
• zipdetails (Archive::Zip script)
• ZIP File Format Specification (PKWARE APPNOTE.TXT)
• Hackers bury malware in new ZIP file attack — concatenated ZIP central directories
• Understanding Zip Bombs: overlapping/quoted-overlap kernel construction

Tip

AWS 해킹 배우기 및 연습하기:HackTricks Training AWS Red Team Expert (ARTE)
GCP 해킹 배우기 및 연습하기: HackTricks Training GCP Red Team Expert (GRTE) Azure 해킹 배우기 및 연습하기: HackTricks Training Azure Red Team Expert (AzRTE)

HackTricks 지원하기

• 구독 계획 확인하기!
• **💬 디스코드 그룹 또는 텔레그램 그룹에 참여하거나 트위터 🐦 @hacktricks_live를 팔로우하세요.
• HackTricks 및 HackTricks Cloud 깃허브 리포지토리에 PR을 제출하여 해킹 트릭을 공유하세요.