Este arquivo ZIP é seguro para abrir? Verifique antes de extrair

Verifique um ZIP antes de extraí-lo. A lista de conteúdo mostra cada arquivo com o nome, o tamanho e o quanto ele encolheu. Cinco coisas aparecem ali quando um ZIP está tentando causar problemas: um tamanho que incha ao descompactar, nomes que saem da própria pasta, uma segunda extensão escondendo o tipo real, uma entrada criptografada e um arquivo cujo tipo real não corresponde ao nome. Abra o conteúdo do ZIP primeiro e descompacte apenas o que você esperava.

Visualizador de ZIPO que tem dentro deste ZIP?Use de graça

O que a lista de conteúdo de um ZIP mostra

Um ZIP guarda cada arquivo como uma entrada. No fim do arquivo, ele mantém uma lista, chamada diretório central, com um registro por entrada. Cada registro traz o nome e o caminho da entrada, o tamanho antes e depois da compactação, o método de compactação, uma soma de verificação chamada CRC-32 (um número curto calculado a partir do conteúdo, usado para detectar danos) e se a entrada está criptografada.

Os programas de extração leem essa lista primeiro. O visualizador de ZIP lê só a lista, então você pode ver o que há dentro sem descompactar nada. Nada no arquivo é executado.

Zip bombs: arquivos pequenos que descompactam enormes

A compactação funciona substituindo dados repetidos por códigos curtos, então quanto mais repetição, menor o resultado. A taxa de compactação é o tamanho descompactado dividido pelo tamanho compactado. Sequências longas de dados repetidos são compactadas muito bem. O método comum do ZIP pode reduzir uma sequência longa de bytes idênticos cerca de mil vezes.

Uma zip bomb aproveita isso. É um arquivo pequeno que descompacta para vários gigabytes, às vezes com arquivos dentro de arquivos para multiplicar o tamanho. Extraí-la lota o disco e pode travar o computador.

Arquivos comuns dão uma ideia da taxa normal. Textos e códigos encolhem bastante. Fotos, vídeos e arquivos já compactados, como .docx, .xlsx e .jpg, quase não encolhem. Uma taxa na casa das centenas em algo que deveria ser um documento simples é um sinal de alerta.

Nomes que saem da pasta

Cada nome de entrada pode incluir pastas. Um nome como ../../Startup/update.bat diz ao extrator para subir dois níveis e gravar numa pasta de inicialização, onde o programa seria executado toda vez que você entrasse no sistema. Isso se chama travessia de caminho, ou "zip slip". Extratores cuidadosos removem as partes ../. Ferramentas antigas e scripts caseiros podem não remover.

Um nome que começa com barra, como /etc/... ou C:\..., é o mesmo problema: tenta gravar num lugar fixo do seu disco. O visualizador mostra os nomes exatamente como estão armazenados, então você pode lê-los antes de qualquer coisa ser gravada.

Extensões duplas e tipos escondidos

A última extensão do nome de um arquivo indica ao sistema que tipo de arquivo ele é. fatura.pdf.exe termina em .exe, então é um programa, mesmo começando com um nome que parece um PDF. O Windows esconde por padrão a extensão de tipos de arquivo conhecidos, então o nome pode aparecer como "fatura.pdf".

Confira o tipo real pelos primeiros bytes

Todo tipo de arquivo começa com alguns bytes de assinatura. A extensão é apenas um rótulo, e qualquer pessoa pode alterá-la. Verifique o tipo real de um arquivo lê esses primeiros bytes e os compara com o nome.

Tipo	Primeiros bytes (hexadecimal)
Documento PDF	25 50 44 46 (o texto %PDF)
Imagem PNG	89 50 4E 47
Imagem JPEG	FF D8 FF
ZIP, e arquivos Word ou Excel (são ZIPs por dentro)	50 4B 03 04 (o texto PK)
Programa do Windows	4D 5A (o texto MZ)

Uma divergência não prova que um arquivo é nocivo. Significa que ele não é o que o nome diz, e isso já basta para parar e verificar de onde ele veio.

Entradas criptografadas

Uma entrada protegida por senha esconde o conteúdo. O visualizador ainda mostra os nomes e tamanhos, mas nada lá dentro pode ser inspecionado aqui, e os antivírus também não conseguem ler o interior. Por isso invasores usam arquivos criptografados para passar arquivos pelos filtros. Extratos bancários e declarações de imposto também costumam ser criptografados de propósito. Se quem enviou é alguém que você conhece, peça a senha por outro canal e abra o arquivo apenas quando souber quem o enviou.

Lixo do Mac e do Windows

Dois sistemas adicionam arquivos que você não criou:

macOS guarda dados extras de cada arquivo numa pasta oculta __MACOSX, com nomes ._ ao lado dos arquivos, e grava arquivos .DS_Store, que mantêm as configurações de visualização do Finder.
Windows adiciona Thumbs.db, um cache de miniaturas, e desktop.ini, que guarda as configurações de exibição da pasta.

Eles são inofensivos, mas poluem o arquivo e confundem quem o recebe.

Limpe o arquivo antes de enviar

Limpe o ZIP gera um arquivo novo, sem os arquivos do Mac e do Windows. O original continua como estava. Uma sequência segura:

Abra o arquivo no visualizador de ZIP e leia todos os nomes.
Verifique qualquer arquivo cujo nome ou tipo pareça errado com o verificador de tipo de arquivo.
Limpe o arquivo e abra a cópia limpa para confirmar que ela ainda contém o que você queria enviar.
Envie a cópia limpa.

Casos especiais

Arquivos dentro de arquivos. O visualizador mostra a lista externa. Abra o arquivo interno separadamente e verifique-o da mesma forma.
Arquivos danificados. O diretório central fica no fim, então um final quebrado pode impedir que um ZIP abra. Isso é um problema de dano, não prova de que o arquivo é seguro. Verifique se há danos.
Arquivos autoextraíveis. Um arquivo com um programa anexado, muitas vezes com nome .exe, é um programa. Não o execute a menos que confie na origem.
Uma lista limpa não é garantia. Uma lista organizada mostra que os nomes e tamanhos parecem normais. Não prova que cada arquivo é inofensivo. Não execute um programa de um arquivo em que você não confia, mesmo depois de verificá-lo.