Pular para o conteúdo
Data Rescue
Notebook isolado da rede e cadeado representando dados criptografados, ilustração conceitual

Ransomware · Arquivos

ZIP criptografado por ransomware: dá para salvar o conteúdo?

Um ZIP criptografado por ransomware às vezes ainda tem itens aproveitáveis, porque o formato grava cada arquivo interno com cabeçalho e código de conferência próprios. O índice geral, chamado diretório central, fica no fim do arquivo. Se a cifragem atingiu só uma parte, os itens fora dela podem ser localizados e conferidos. Mantenha o .zip com o nome atual e guarde a nota. A análise em cópia extrai e confere o que estiver íntegro.

Iniciar recuperaçãoPerguntas frequentes

Orçamento por escrito antes de qualquer trabalho. Nada começa sem o seu OK.

O diagnóstico é grátis. Se você quiser um prazo menor, a análise paga tem valor fixo, informado antes de você entregar o dispositivo. A análise comum leva de 02 a 48 horas; depois vêm o laudo e o orçamento, os dois por escrito.

Como cobramos

Ficha rápida

Extensão
.zip; o mesmo formato está por dentro de .docx, .xlsx e outros pacotes
Especificação
APPNOTE.TXT, publicada pela PKWARE
Cada item tem
cabeçalho local, dados e código CRC-32
Índice geral
diretório central, no fim do arquivo
Arquivos muito grandes
extensões ZIP64 da especificação
Atendimento
Atendido, com orçamento por escrito antes de qualquer trabalho

Como um ZIP é organizado

A especificação do formato, o APPNOTE.TXT mantido pela PKWARE, descreve o ZIP como uma sequência de itens. Cada arquivo guardado tem um cabeçalho local, os dados (em geral compactados) e um código CRC-32 para conferir a integridade. No fim fica o diretório central, um índice com todos os itens, encerrado por um registro de fim de diretório que todo ZIP precisa ter.

Essa redundância ajuda numa avaliação. Se o fim do arquivo foi cifrado, o índice se perde, mas os cabeçalhos locais continuam espalhados pelo arquivo e podem ser encontrados um a um. Se o começo foi atingido, os primeiros itens se perdem, e os seguintes podem continuar inteiros. Cada item é compactado de forma independente, então o dano num deles não arrasta necessariamente os outros.

Por que o ataque atinge arquivos ZIP

Muitas empresas guardam backups, exportações de sistemas e arquivos antigos em ZIP. Para quem ataca, isso faz parte do mesmo objetivo: impedir que a empresa se recupere sem pagar. Além disso, documentos do Office no formato atual, como .docx e .xlsx, são pacotes no formato ZIP por dentro, e a mesma lógica de estrutura vale para eles.

Em ZIP grandes, a cifragem parcial ou intermitente descrita em alertas da CISA pode deixar parte dos itens intacta. Em ZIP pequenos, há menos chance de sobrar alguma parte. Um ZIP protegido por senha antes do ataque é outra situação: a senha original continua necessária para abrir os itens que sobrarem.

Como a Data Rescue avalia um ZIP

Conte quantos arquivos ZIP foram atingidos, os tamanhos, o que eles guardavam e se havia senha; o envio é combinado por escrito, antes de você mandar qualquer arquivo. A Data Rescue não negocia com criminosos nem conduz a contenção ou a investigação: trabalha em cópias, com o ambiente já isolado.

Na cópia, a análise procura os cabeçalhos locais, separa os itens que estão fora dos trechos cifrados, descompacta e confere cada um pelo CRC-32. Itens que passam na conferência saem íntegros; os que falham podem voltar danificados ou não voltar. O laudo lista o resultado item por item.

Sinais de que o ZIP foi cifrado

  • O .zip ganhou outra extensão ou um sufixo, e o descompactador diz que o arquivo não é válido.
  • O descompactador mostra a lista de arquivos, mas falha ao extrair parte deles.
  • Documentos .docx e .xlsx da mesma pasta também deixaram de abrir.
  • Um texto com o pedido de resgate surgiu na pasta onde ficavam os arquivos compactados.

O que não fazer com um ZIP cifrado

  • Não rode a opção de reparo do descompactador sobre o arquivo original.
  • Voltar a extensão para .zip não faz o arquivo abrir.
  • Não extraia por cima das pastas originais: extraia a partir da cópia, para outro local.
  • Não baixe programas de descriptografia de origem desconhecida.

O que fazer agora com os arquivos compactados

01

Espere o isolamento do ambiente

Primeiro, a TI isola o computador ou o servidor e investiga o ataque. Só então faz sentido mexer nos arquivos compactados.
02

Copie os ZIP como estão

Copie os arquivos cifrados para um disco limpo, sem renomear. Inclua as partes de um ZIP dividido, como .z01 e .z02, se houver.
03

Procure versões anteriores

Anexos de e-mail, cópias em outro computador, na nuvem ou num backup antigo podem estar intactos. Reúna essa lista antes de qualquer tentativa.
04

Guarde a nota e as senhas

Preserve a nota de resgate e, se o ZIP tinha senha própria, guarde-a. Ela é necessária mesmo para os itens que o ataque não alcançou.
05

Conte o caso

Diga o que os arquivos guardavam e quais deles fazem mais falta.
Perguntas frequentes

Perguntas sobre
ZIP.

Respostas curtas para as dúvidas mais comuns deste tipo de caso.

O descompactador mostra a lista, mas não extrai. O que isso indica?
Que o diretório central, no fim do arquivo, pode estar legível, enquanto os dados de parte dos itens foram atingidos. Não insista com reparos no original: a avaliação na cópia confere item por item pelo CRC-32.
Um ZIP com senha antes do ataque fica mais protegido?
Não contra o ransomware: o ataque cifra o arquivo por cima, com senha ou sem. A senha original só passa a ser mais uma coisa necessária para abrir os itens que sobrarem.
Arquivos .docx e .xlsx atingidos seguem a mesma lógica?
Em boa parte, sim, porque esses documentos são pacotes ZIP por dentro. Mas costumam ser menores, e a chance de sobrar parte íntegra tende a ser menor. A análise indica o que pode ser aproveitado.
Existe ferramenta pública que desfaça a cifragem?
Para algumas famílias, existe. O projeto No More Ransom reúne ferramentas públicas por família. Quem consulta é a equipe de resposta, com base na nota e na extensão adicionada, sem baixar programas de origem desconhecida.

Leia também

Fontes

Conteúdo editorial da Data Rescue, atualizado em 29/10/2026. Orientação geral: não substitui a avaliação do dispositivo, a resposta a incidentes nem orientação jurídica. Veja a política editorial.

Antes de tentar sozinho, conte o que aconteceu.

Orçamento por escrito antes de qualquer trabalho. Nada começa sem o seu OK.

Iniciar recuperaçãoEntenda o processo