1. 概要

圧縮ファイルは、長年にわたりマルウェアの拡散に利用されてきた。攻撃者は実行ファイルやスクリプトを ZIP、RAR、7Z などの圧縮形式にパッケージ化し、メールの添付ファイルや Web サイトからのダウンロードという形で配布する。
近年では、悪性ファイルを圧縮するだけでなく、圧縮プログラム自体の動作方式を悪用し、OS のセキュリティ機能を回避したり、ユーザーが意図していない場所にファイルを生成させたりする事例も報告されている。
多くのユーザーは、圧縮ファイルの解凍を単純なファイル管理作業として認識している。しかし実際には、圧縮プログラムはインターネットからダウンロードされたファイルのセキュリティ情報を処理し、圧縮ファイル内部のパスを検証し最終的なファイルの生成場所を決定するなど、OS のセキュリティメカニズムと密接に連携している。
これらの処理において十分な検証が行われない場合、セキュリティ警告が回避されたり、予期しない場所にファイルが生成されたりするなど、さまざまなセキュリティ上の問題が発生する可能性がある。
ASEC は、このようなリスクを分析するため、韓国国内外で広く利用されている商用圧縮プログラムを対象にセキュリティ検証を実施した。本ブログでは、研究過程で確認された Mark of the Web (MotW) 回避の脆弱性と Zip Slip (Path Traversal) 脆弱性を中心に、圧縮プログラムがセキュリティ上重要である理由と実際に悪用される可能性について解説する。

2. 研究方法

ASEC は、商用圧縮プログラムを対象に OS のセキュリティ機能との連携状況を中心としたセキュリティ検証を実施した。研究は大きく2つの観点から行った。

• インターネットからダウンロードした圧縮ファイルの MotW 情報が正常に引き継がれるかを検証
• 圧縮ファイル内部に含まれるファイルパスが安全に検証されるかを確認

これらの検証のため、さまざまな圧縮フォーマットと展開方式を対象にテストを実施し、圧縮解凍後に生成されたファイルのセキュリティ属性および実際の生成場所を比較・分析した。

3. Mark of the Web 回避の脆弱性

Mark of the Web とは?

Mark of the Web (MotW) は、ユーザーがインターネットからダウンロードしたファイルに対して Windows が付与するセキュリティメカニズムである。
ダウンロードされたファイルには Zone.Identifier という Alternate Data Stream (ADS) が生成され、これによって Windows は対象ファイルがインターネット経由で取得されたものであることを識別する。
MotW が存在する実行ファイルやスクリプトを実行すると、SmartScreen の警告画面が表示される場合がある。また、Office 文書の場合は保護されたビュー (Protected View) が適用されるなど、追加のセキュリティチェックが実行される。

脆弱性の原理

通常、インターネットからダウンロードした圧縮ファイルには MotW が存在し、圧縮解凍の過程で内部ファイルにも同じ情報が引き継がれる必要がある。
しかし研究過程において、一部の圧縮プログラムでは特定の圧縮形式や展開方式を使用した場合に Zone.Identifier が生成されない問題が確認された。この場合、圧縮ファイル自体には MotW が存在していても、内部から展開された実行ファイルにはその情報が引き継がれない。

正常な場合と脆弱な場合を比較すると、以下の図のようになる。

この脆弱性に関する詳しい原理については、以下の ASEC ブログで確認できる。

Mark of the Web (MoTW) を回避する脆弱性 – ASEC

検証結果

ダウンロードした圧縮ファイルには MotW が存在し、圧縮解凍の過程で内部ファイルにも同じ情報が引き継がれる必要がある。
しかし研究過程において、一部の圧縮プログラムでは特定の圧縮形式または特定の展開方式において Zone.Identifier が生成されない問題を確認した。

攻撃シナリオ

攻撃者は、悪意のある実行ファイルを含む圧縮ファイルをユーザーに送付する。
ユーザーが脆弱な圧縮プログラムを使用して圧縮ファイルを解凍すると、内部の実行ファイルには MotW 情報が引き継がれない。
その後、ユーザーが該当ファイルを実行すると、Windows がインターネットからダウンロードされたファイルとして認識できず、追加のセキュリティチェックが正常に実行されない可能性がある。

4. Zip Slip (Path Traversal) 脆弱性

Zip Slip とは?

Zip Slip は、圧縮ファイル内部に保存されたパスを操作することで圧縮解凍時にユーザーが指定したフォルダーの外部にファイルを生成したり、既存のファイルを上書きしたりできる脆弱性である。
攻撃者は、ディレクトリトラバーサル文字列 (“../”) を利用して、ファイルの生成場所を操作することができる。

脆弱性の原理

正常な圧縮プログラムでは圧縮ファイル内部のパスに含まれるディレクトリトラバーサル文字列や絶対パスを削除または遮断する。
しかし、検証が十分に行われていない場合、圧縮解凍先のフォルダーから外れた場所にファイルを生成することが可能になる。
例えば、圧縮ファイル内部に以下のようなパスが存在するとする。

正常な動作では、このようなパスを遮断または変換する必要がある。しかし脆弱な場合、ファイルが実際のスタートアップフォルダーに生成される可能性がある。

この問題については、以前投稿したブログでも詳しく解説している。

Zip Slip: 解凍プロセスで発生する Path Traversal 脆弱性 – ASEC

検証結果

研究過程において、ディレクトリトラバーサル文字列を含む圧縮ファイルを作成し、各圧縮プログラムにおけるパス検証の動作を確認した。

正常な製品では、パス内のディレクトリトラバーサル文字列を別の文字列に置換するか、圧縮解凍を遮断した。
一方、一部の製品では、圧縮解凍先のフォルダーから外れた場所にファイルが生成される現象を確認した。

攻撃シナリオ

攻撃者は、ディレクトリトラバーサル文字列を含む圧縮ファイルを作成する。
ユーザーが脆弱な圧縮プログラムを使用して圧縮ファイルを解凍すると、ファイルがスタートアップフォルダー、ユーザープロファイル、アプリケーション設定フォルダーなど、意図しない場所に生成される可能性がある。その後、攻撃者はこれをマルウェアの実行や永続化の確保に利用することができる。

5. 研究結果

ASEC は、商用圧縮プログラムに対するセキュリティ検証の過程で合計9件の新規脆弱性を発見した。
このうち8件は Mark of the Web (MotW) を回避する脆弱性であり、1件は Zip Slip (Path Traversal) 脆弱性である。
発見された脆弱性についてはそれぞれの開発会社に報告しており、関連する内容は CVE として登録された。
今回の研究を通じて、圧縮プログラムの実装方式が OS のセキュリティ機能の動作に直接的な影響を与える可能性があることを確認した。
また、圧縮解凍時のセキュリティ属性の処理やパス検証が不十分な場合、ユーザーが予期しないセキュリティ上の脅威につながる可能性があることも確認した。

発行された脆弱性一覧

Mark of the Web を回避する脆弱性

• CVE-2025-29864
• CVE-2025-44089
• CVE-2025-44090
• CVE-2025-50324
• CVE-2025-50325
• CVE-2025-50327
• CVE-2025-50329
• CVE-2025-50330

Zip Slip 脆弱性

• CVE-2025-60835

6. 結論および対策

圧縮ファイルは現在もマルウェアの拡散に継続して利用されている。しかしユーザーは圧縮ファイルを解凍する行為を一般的なファイル管理作業として認識し、その危険性を見落としやすい。
今回の研究を通じて、圧縮プログラムは OS のセキュリティメカニズムと密接に関連しており、実装上のわずかな検証漏れによってもセキュリティ警告の回避や意図しない場所へのファイル生成といった問題が発生する可能性があることを確認した。
特に Mark of the Web (MotW) を回避する脆弱性は、インターネットからダウンロードされたファイルに対するセキュリティ警告を弱める可能性がある。
また、Zip Slip 脆弱性は、圧縮解凍の過程でユーザーが意図していない場所にファイルを生成し、マルウェアの実行や永続化の確保に悪用される可能性がある。
これらの事例は、圧縮プログラムが単に利便性を提供するソフトウェアではなく、セキュリティの観点からも継続的な検証が必要なコンポーネントであることを示している。

ユーザーは、以下のセキュリティ対策を遵守することが推奨される。

• 使用しているプログラムを最新バージョンに維持する
• 出所が不明な圧縮ファイルの実行に注意する
• 圧縮解凍後に生成された実行ファイルを確認する
• SmartScreen の警告が表示されなくても、ファイルを信頼しない
• 企業環境では、EDR およびセキュリティソリューションによるビヘイビア (動作) ベースの検知を適用する

また、開発者は MotW の引き継ぎ有無を含むセキュリティ属性の処理ロジックを検証し、圧縮解凍時のパス検証 (Path Validation) を徹底して実施する必要がある。
さらに、シンボリックリンク、絶対パス、相対パスなどの例外的な状況についても継続的にセキュリティ検証を実施し、同様の脆弱性が発生しないようにする必要がある。