A combatir los bots con "bombas zip"

AXCESS · Mayo 05, 2025, 09:28:16 PM

Los profesionales de la ciberseguridad recurren cada vez más a la guerra de guerrillas cibernética para proteger sus servidores. Un bloguero recibió mucha atención por la táctica de la "bomba zip" para combatir los scrapers y otros bots maliciosos.

La web está repleta de una gran cantidad de rastreadores poco sofisticados, muchos de ellos maliciosos o indeseados. Para combatir esta avalancha, el desarrollador de software Ibrahim Diallo compartió un método aparentemente eficaz.

La "bomba zip" es como una trampa para bots no deseados. Cuando un servidor recibe solicitudes de bots, responde con un pequeño archivo (1-10 MB) comprimido en gzip. Sin embargo, el archivo se descomprime en uno mucho más grande que bloquea inmediatamente a los bots que no pueden gestionar archivos de varios gigabytes.

Ese es el objetivo: saturar el sistema del bot para que deje de responder.

"Devuelvo una respuesta 200 OK y les sirvo una respuesta gzip. El tamaño del archivo varía entre 1 MB y 10 MB, y lo procesan con gusto. Generalmente, cuando lo hacen, no vuelvo a saber de ellos", compartió Diallo en una entrada de blog.

Funciona muy bien porque el contenido comprimido en gzip es una práctica común para ahorrar ancho de banda y acelerar los tiempos de carga. Como muchos navegadores, la mayoría de los bots aceptan respuestas gzip y las descomprimen automáticamente para leer el contenido de la página.

Sin embargo, sus recursos son limitados.

"El archivo se expande una y otra vez hasta que se quedan sin memoria y su servidor colapsa. El archivo de 1 MB se descomprime a 1 GB. Esto es más que suficiente para dañar a la mayoría de los bots. Sin embargo, para esos scripts molestos que no se detienen, les sirvo el archivo de 10 MB. Este se descomprime a 10 GB y lo cierra al instante", dijo el desarrollador.

Diallo compartió abiertamente las instrucciones para crear la bomba zip e incluso un código simple que funciona como middleware y comprueba si la solicitud es maliciosa o si la dirección IP está en la lista negra. Todo se puede hacer con solo unas pocas líneas de código. Sin embargo, el desarrollador advierte que existe el riesgo de bloquear el dispositivo.

Los bots legítimos, como el de Google, están bien diseñados, se identifican claramente y siguen protocolos estrictos.

Aún existe el riesgo de que algún usuario legítimo reciba una bomba zip. Sin embargo, muchos navegadores pueden gestionar o finalizar procesos que requieren un aumento de RAM de más de 1 GB.

El envío intencional de datos diseñados para bloquear otro sistema plantea algunas consideraciones éticas y no es una solución infalible. Las bombas zip se pueden detectar y eludir.

Otros se suman a la tendencia

El lunes, el método de la "bomba zip" se convirtió en el tema más votado en No tienes permitido ver enlaces. Registrate o Entra a tu cuenta, una comunidad informática para debatir contenido técnico.

Algunos profesionales de la ciberseguridad afirmaron haber implementado el método. Otros incluso sugirieron mejoras, como dificultar su detección por parte de los bots, activar la "bomba zip" tras un cierto número de solicitudes o envenenar el contenido para los bots de IA.

"Deberías poder usar una pequeña cadena de Markov para generar 1 KiB de texto aleatorio y luego retrorreferencias aleatorias en los límites de palabra que se expanden a unos pocos GiB de texto sin sentido, pero que solo utilizan unos pocos cientos de KiB de ancho de banda. Para mayor diversión, esto envenenaría los elementos de entrenamiento de LLM al alimentarlos con texto sin sentido", sugirió un miembro de la comunidad.

El método de la "bomba zip" se ha implementado anteriormente como una herramienta para explotar la descompresión de archivos. Un ejemplo famoso de una "bomba zip" es el archivo "No tienes permitido ver enlaces. Registrate o Entra a tu cuenta" creado por David Fifield, que solo contiene 42 kilobytes de datos sin comprimir, pero se expande a la asombrosa cifra de 4,5 petabytes sin comprimir.

Fuente:
CyberNews
No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

A combatir los bots con "bombas zip"

AXCESS

Mayo 05, 2025, 09:28:16 PM