Nhiều phần mềm antivirus cảnh báo "This file is a decompression bomb" khi quét máy. Thông báo này nghĩa là antivirus phát hiện file nào đó, nếu giải nén, sẽ không bao giờ giải nén xong và rất có thể làm treo hệ thống.
Nén file (File Compression) là gì?
Trước khi nói về decompression bomb và cơ chế, xem cơ bản nén file. Nén file là hành động thuật toán nén giảm dung lượng file. Ví dụ: phim 700MB nén thành file RAR 500MB. Để giảm dung lượng, thuật toán phải đọc toàn bộ file và phân tích.
Như bạn biết, máy tính toàn chuỗi 0 và 1 – gọi là mã nhị phân (binary code). Nguyên tắc thuật toán nén chạy là tìm sự tương đồng trong mã nhị phân file.
Chúng ta thường dùng pattern trong đời sống. Ví dụ: nói số '111000' cho bạn, bạn nói "ba 1 và ba 0". Khi số tăng, dạng nói vẫn độ dài gần như không đổi.
Đoạn mã nhị phân 111111000000 có hai tập số lặp. Để nén nhỏ lại, thuật toán viết lại thành 6×1 6×0. Đoạn 12 chữ số giờ chỉ 6.
Cơ chế của Decompression Bomb (Bom giải nén) là gì?
Decompression bomb chứa chuỗi code tạo ra pattern cực dài. Ví dụ: nhờ bạn viết 1 theo sau một tỷ 0. Bạn có thể viết 0 từ đầu trong khi số bạn ý chỉ 7 chữ số.
Tương tự, decompression bomb có kích thước 5KB nhưng tạo file cực lớn (ví dụ 10TB). 1000 GB = 1TB. Đây là ước lượng thấp; thực tế lên tới petabytes. Quy trình này giống bài toán dừng (halting problem) trong máy tính – bạn không bao giờ biết khi nào dừng xử lý.
Tác hại của việc mở Decompression Bomb?
Nếu antivirus quét file .zip tìm decompression bomb بدون thuật toán tốt, nó có thể treo (hang) chuyển trạng thái 'not responding'. Tương tự, OS hiện nay cũng mở được file nén, hệ điều hành cũng có thể bị hỏng khi cố mở decompression bomb gây thiệt hại nghiêm trọng.
Nếu bạn mở file bị gán nhãn decompression bomb, và nó thực sự là một, hệ thống sẽ treo ngay lập tức và cuối cùng crash gây mất dữ liệu. Nhiều virus và malware khai thác nguyên lý decompression bomb nhiễm máy.
Nếu file bị gán nhãn KHÔNG phải Decompression Bomb (False alarm - Cảnh báo sai)?
Có nhiều trường hợp file bị antivirus gán nhãn decompression bomb nhưng thực tế không phải. Có thể file chứa chuỗi số ngẫu nhiên viết theo cách khiến antivirus nhầm là decompression bomb.
Nếu muốn chắc chắn file không phải decompression bomb, quét máy vài lần bằng các antivirus khác (Malwarebytes, AVG, Panda, Norton, v.v.). Nếu thực sự là bomb, các hệ thống này sẽ báo tương ứng.
Nhiều trường hợp antivirus báo false alarm (cảnh báo sai). False alarm nghĩa là file bị gán nhãn đe dọa nhưng thực tế không đe dọa. Bạn có thể Google tên file tìm người khác báo vấn đề. Nếu chắc chắn file không phải bomb, bạn có thể loại trừ nó khỏi quét antivirus và dùng bình thường.
Bạn cũng có thể chạy Microsoft Safety Scanner trên máy. Microsoft Safety Scanner là công cụ quét tìm và xóa malware. Lưu ý phần mềm này không thay thế antivirus thường xuyên nhưng cung cấp định nghĩa virus mới nhất và có thể giúp trong trường hợp này.