- Zombie ZIP camufla malware dentro de archivos ZIP manipulando sus metadatos.
- Las pruebas con 51 antivirus muestran que solo uno detectó la amenaza.
- La técnica explota un fallo de interpretación conocido desde hace más de 20 años.
- CERT/CC ha emitido una alerta oficial bajo el identificador CVE-2026-0866.
En el ámbito de la ciberseguridad ha irrumpido un nombre que se repite en informes técnicos y avisos oficiales: Zombie ZIP. Bajo esta etiqueta se esconde una forma especialmente astuta de ocultar código malicioso dentro de archivos comprimidos que, a primera vista, parecen completamente normales y que la mayoría de antivirus interpreta como inofensivos.
La preocupación no es solo teórica: las pruebas realizadas por un investigador independiente han demostrado que prácticamente todos los motores antivirus estudiados son vulnerables a este truco. El resultado es un escenario en el que un simple archivo ZIP adjunto en un correo, una descarga desde una web o un archivo compartido en la empresa puede convertirse en una puerta de entrada al sistema sin que las defensas salten a tiempo.
Qué es exactamente Zombie ZIP y por qué preocupa tanto
Con el nombre de Zombie ZIP se describe una técnica que permite a un atacante esconder malware dentro de un archivo comprimido en formato .zip y conseguir que pase los controles de seguridad como si fuera un documento cualquiera. No hablamos de una nueva familia de virus en sí, sino de una manera de empaquetar y disfrazar el contenido malicioso para que se vuelva prácticamente invisible a los escáneres habituales.
Los archivos ZIP son muy comunes en el día a día: se usan para agrupar documentos, fotografías o programas en un único fichero, reducir su tamaño y facilitar el envío por correo electrónico, mensajería o plataformas en la nube. Esta familiaridad juega a favor de los ciberdelincuentes, que se aprovechan de que tanto usuarios domésticos como empresas confían en este formato y lo abren sin demasiadas suspicacias.
En el caso de Zombie ZIP, el truco consiste en aprovecharse de la forma en que los sistemas operativos, los programas de descompresión y los antivirus leen la estructura interna de ese ZIP. En lugar de explotar un fallo sofisticado, la técnica saca partido de cómo interpretan las etiquetas internas que describen si los datos están comprimidos o no.
El resultado es una especie de “malware fantasma”: el archivo comprimido parece corrupto o inútil para herramientas habituales como WinRAR o 7-Zip, pero al mismo tiempo pasa los filtros de seguridad sin levantar sospechas. Mientras el usuario piensa que se trata de un ZIP defectuoso, un componente especializado del ataque es capaz de extraer y ejecutar el código dañino sin que nada lo bloquee.
El descubrimiento: 51 antivirus puestos a prueba
La técnica Zombie ZIP ha sido documentada por Chris Aziz, investigador de seguridad de la consultora Bombadil Systems. Fue él quien decidió comprobar hasta qué punto los productos de seguridad eran capaces de detectar este tipo de manipulación en los archivos comprimidos.
En sus pruebas, Aziz sometió la técnica a un examen con 51 soluciones antivirus de uso extendido en todo el mundo. El experimento fue contundente: solo uno de los programas analizados fue capaz de identificar que algo no cuadraba con ese archivo ZIP concretamente.
Los otros 50 antivirus analizaron el fichero, no hallaron señales claras de malware y dieron luz verde al usuario. Desde la perspectiva de cualquier persona que abre ese correo o descarga el archivo, todo parece ir bien: el sistema indica que no hay virus y no muestra alertas.
Para un atacante, este comportamiento es casi ideal. Significa que puede distribuir archivos ZIP aparentemente normales, seguros a ojos del antivirus, que además generan errores al abrirse con programas de descompresión estándar. Ese fallo aparente de lectura hace que mucha gente piense que se trata de un archivo dañado, lo borre y siga con su vida, sin imaginar que el código malicioso ya ha sido procesado por otro componente del ataque.
Cómo engaña Zombie ZIP a los motores antivirus
La clave de Zombie ZIP está en la manipulación de los metadatos del archivo comprimido. Todo ZIP incluye una serie de campos internos que indican, entre otras cosas, si los datos están comprimidos y qué método de compresión se ha utilizado. Estas etiquetas sirven de guía para que tanto las herramientas de descompresión como los antivirus sepan cómo tratar el contenido.
En este caso, el atacante marca los datos como si fueran “datos crudos” (sin comprimir) cuando en realidad sí están comprimidos mediante el método habitual. El motor antivirus, que normalmente está optimizado para ir rápido y no gastar recursos de más, confía en esa etiqueta: espera encontrar texto o código plano y, al leer una secuencia que no tiene sentido porque sigue comprimida, la interpreta como basura inofensiva.
Mientras el software de seguridad da por hecho que no hay nada peligroso, el archivo sigue conteniendo en su interior el malware correctamente empaquetado. Desde fuera parece un ZIP defectuoso; desde dentro, para quien sabe cómo abrirlo, es un contenedor totalmente funcional con el código dañino listo para actuar.
Cuando el usuario intenta abrir el archivo con programas como WinRAR o 7-Zip, es muy posible que el resultado sea un mensaje de error o de archivo corrupto. Eso refuerza la impresión de que se trata de un simple fallo de descarga. Sin embargo, el ataque incluye un cargador o “loader” específico —un programa propio del delincuente— capaz de interpretar correctamente esa estructura engañosa, extraer el contenido y ejecutarlo.
Esta combinación de engaño técnico y efecto psicológico es lo que convierte a Zombie ZIP en una amenaza especialmente molesta: el antivirus mira hacia otro lado, el usuario no sospecha y el atacante controla el proceso de extracción del malware sin interferencias.
Una vieja debilidad que vuelve: CVE-2026-0866
Lejos de ser un fallo totalmente nuevo, Zombie ZIP se apoya en errores de interpretación de archivos que ya se conocían hace más de dos décadas. Los especialistas han comparado esta técnica con una vulnerabilidad antigua catalogada como CVE-2004-0935, que jugaba con principios muy similares: aprovecharse de cómo se procesan las estructuras internas de los ZIP.
Ante la relevancia del hallazgo, el CERT/CC (CERT Coordination Center) ha emitido una advertencia oficial y ha asignado a esta cuestión el identificador CVE-2026-0866. Incluirla en el catálogo de vulnerabilidades públicas implica que fabricantes, administradores de sistemas y equipos de respuesta a incidentes pueden seguir su evolución, evaluar el impacto en sus entornos y priorizar correcciones.
En su comunicado, CERT señala que el problema no reside tanto en un fallo puntual de un programa concreto, sino en un enfoque excesivamente confiado por parte de muchos motores de análisis: aceptan como válidas las etiquetas internas del archivo sin comprobar si lo que hay dentro encaja realmente con lo que se declara.
La recomendación principal de los expertos es bastante clara: los antivirus y herramientas de seguridad deben dejar de fiarse ciegamente de los metadatos y pasar a inspeccionar la estructura real del archivo comprimido. En otras palabras, no basta con leer lo que el ZIP “dice” que es; hay que comprobar cómo está construido en realidad.
En paralelo, el propio Chris Aziz ha publicado pruebas de concepto y ejemplos técnicos en GitHub. Eso facilita que desarrolladores de seguridad y equipos de investigación puedan reproducir el comportamiento y mejorar sus defensas, pero también abre la puerta a que actores con menos escrúpulos copien la idea y la adapten a sus campañas.
Impacto potencial en usuarios y organizaciones en Europa
Aunque Zombie ZIP es una técnica de alcance global, su impacto potencial en usuarios y empresas europeas es significativo. El uso intensivo de archivos comprimidos en entornos corporativos —para compartir informes, bases de datos, documentación técnica o software interno— hace que el formato ZIP sea un canal muy atractivo para campañas de malware dirigidas.
En contextos como la administración pública, la banca, el sector sanitario o la industria, es habitual que se intercambien archivos ZIP por correo electrónico o plataformas de colaboración. Si las soluciones de seguridad desplegadas en estos entornos no reconocen el patrón de Zombie ZIP, un ataque bien diseñado podría llegar muy lejos antes de ser detectado.
Además, en países europeos se han registrado en los últimos años campañas masivas de phishing que utilizan ficheros ZIP como cebo: supuestas facturas, notificaciones de mensajería, comunicados de organismos oficiales o incluso actualizaciones de software. Añadir Zombie ZIP a este tipo de correos maliciosos aumentaría sus probabilidades de éxito, ya que el archivo adjunto superaría el filtro del antivirus con facilidad.
Para los usuarios domésticos, el riesgo se manifiesta de forma similar: descargas desde páginas poco fiables, enlaces en redes sociales o archivos compartidos por mensajería instantánea pueden incorporar esta técnica sin que el antivirus del equipo o del móvil levante la voz. La combinación de confianza en el formato ZIP y la falta de alertas complica que la víctima detecte a tiempo que algo va mal.
De ahí que muchos especialistas en ciberseguridad en Europa estén insistiendo en la necesidad de actualizar motores de análisis y revisar políticas de filtrado de adjuntos, especialmente en organizaciones que manejan información sensible o datos personales protegidos por el RGPD.
Qué cambios se piden a los fabricantes de antivirus
El caso de Zombie ZIP ha puesto sobre la mesa una crítica recurrente: muchos productos de seguridad priorizan la velocidad de análisis frente a la profundidad, confiando demasiado en los metadatos y la estructura declarada de los archivos. Eso puede ser suficiente frente a amenazas más tradicionales, pero se queda corto cuando los atacantes empiezan a jugar con estos detalles.
Los expertos y organismos como el CERT/CC proponen varias líneas de mejora. En primer lugar, que los motores de escaneo validen la coherencia entre lo que el ZIP declara y lo que contiene. Si un archivo se marca como “no comprimido” pero su contenido tiene claramente la forma de datos comprimidos, el antivirus debería sospechar y analizarlo con más detenimiento.
También se recomienda introducir mecanismos de análisis estructural más exhaustivos en el tratamiento de contenedores comprimidos, incluso cuando esto suponga un pequeño incremento en el tiempo de escaneo. La idea es que decisiones basadas solo en etiquetas internas dejen de ser la norma y pasen a ser una simple pista más dentro de un análisis más completo.
Otro aspecto que se menciona con frecuencia es la importancia de compartir rápidamente indicadores técnicos relacionados con Zombie ZIP entre fabricantes, centros de respuesta y comunidades de investigación. Cuanto antes puedan los proveedores integrar firmas, reglas heurísticas o cambios en sus motores, menor será la ventana de tiempo en la que la técnica pueda explotarse a gran escala.
Por último, se anima a los desarrolladores de programas de compresión y herramientas como WinRAR o 7-Zip a gestionar mejor los errores de lectura en archivos potencialmente manipulados. Mensajes más claros y, en la medida de lo posible, avisos al sistema de seguridad podrían ayudar a detectar antes este tipo de artimañas.
Recomendaciones prácticas para usuarios y empresas
Aunque la solución de fondo pasa por que los fabricantes de antivirus refuercen sus motores, tanto usuarios domésticos como organizaciones pueden adoptar una serie de buenas prácticas para reducir la exposición a ataques basados en Zombie ZIP.
La primera es la de siempre, pero sigue siendo clave: desconfiar de los archivos ZIP que lleguen desde fuentes desconocidas o inesperadas. Da igual que el correo parezca venir de una empresa de mensajería, de un banco o de un organismo público; si incluye un ZIP y no se esperaba nada, conviene extremar la cautela.
También es recomendable mantener actualizado el antivirus y el sistema operativo. Aunque muchas soluciones aún no detectan bien Zombie ZIP, los parches y actualizaciones suelen incluir mejoras generales en la inspección de archivos comprimidos que pueden ayudar a mitigar el problema a medio plazo.
En entornos corporativos, tiene sentido aplicar políticas de filtrado de adjuntos más estrictas, al menos en cuentas de correo con información especialmente sensible. Por ejemplo, bloquear ZIP procedentes de dominios que no sean de confianza, o exigir que ciertos archivos se compartan a través de plataformas internas con controles adicionales.
Por último, conviene incorporar este tipo de tácticas a las campañas de concienciación en ciberseguridad. Explicar a los empleados que un archivo ZIP que da error al abrirse no siempre es inofensivo puede evitar que se relajen o ignoren señales que, combinadas con otros indicios, apunten a un intento de ataque más elaborado.
Todo lo que rodea a Zombie ZIP pone de manifiesto que las amenazas digitales no dejan de reciclar viejas ideas con enfoques nuevos. Una debilidad conocida desde hace años vuelve a ser relevante porque muchos motores de seguridad siguen confiando demasiado en los metadatos y no miran lo suficiente bajo la superficie. Mientras los fabricantes adaptan sus productos y corrigen esta brecha, la prudencia con los archivos comprimidos y la mejora continua de las herramientas de análisis seguirán siendo piezas esenciales para mantener a raya este tipo de ataques.