Abrir ZIP, RAR y 7z sin ejecutar algo que no pediste
Un archivo en Descargas no hace nada mientras no lo abras y no ejecutes lo de dentro. El daño está en el contenido y en el siguiente doble clic. Quien manda malware usa ZIP, RAR, 7z e ISO porque tapan el tipo real, se esconden de los filtros y parecen un documento normal. Esta guía describe los trucos y deja una lista que se puede seguir sin ser analista.
Actualizado el 2026-10-22 · Escrito y probado por el equipo editorial de UnpackNest (TECCONET)
Por qué el malware va dentro de un comprimido
- El disfraz. Hasta que no abres el paquete no se ve el programa. El correo solo enseña
factura.zip. - El filtro. Un archivo cifrado no lo lee la pasarela del correo. La contraseña va escrita en el mismo mensaje, para que tú sí puedas abrirlo y el filtro no.
- El aviso de Windows. Lo descargado de internet lleva una marca, el Mark of the Web, que dispara SmartScreen y la vista protegida de Office. Algunos extractores no pasaban esa marca a los archivos sacados. Las imágenes de disco, ISO e IMG, llegaron a soltarla del todo hasta que Microsoft lo corrigió en 2022.
- Fallos del propio extractor. Programas viejos han tenido agujeros. Uno de WinRAR, corregido en 2023 (CVE-2023-38831), permitía que un archivo manipulado ejecutara código al abrir lo que parecía un documento inofensivo. Por eso importa actualizar.
Nada de esto convierte el ZIP en «el virus». El ZIP es el sobre. La decisión peligrosa es ejecutar lo que hay dentro, o activar macros, o seguir un acceso directo.
El correo ya avisa, si se lee entero
- No esperabas el archivo, o el remitente no te suena.
- Hay prisa: factura impagada, paquete que no sale, requerimiento, contraseña a punto de caducar.
- La contraseña está en el mismo mensaje que el archivo.
- El paquete pesa unos kilobytes y promete un dossier enorme.
- Una cuenta de un compañero, de pronto, manda un archivo con un texto vago: «mira el adjunto».
Una factura de un proveedor habitual, desde la dirección de siempre, por un encargo que sí existe, es otra historia. El patrón peligroso es la combinación: sorpresa, prisa y contraseña en el cuerpo. Una sola de esas señales puede ser legítima. Las tres juntas, no.
Dentro del archivo, los nombres que mienten
| Ves esto | Por qué desconfía |
|---|---|
| factura.pdf.exe o foto.jpg.scr | Doble extensión: la última es el tipo real. Windows oculta las extensiones conocidas y el archivo parece un PDF |
| .exe, .scr, .com, .bat, .cmd, .ps1, .vbs, .js, .hta, .msi | Programas y scripts que se ejecutan con doble clic |
| .lnk | Un acceso directo puede lanzar una orden y pintarse como un documento |
| .docm o .xlsm | Documentos de Office con macros |
| Una ISO o un IMG dentro del ZIP | Contenedores en capas para esconder la carga |
| Un nombre con muchos espacios antes de la extensión | Empuja el .exe fuera de la columna estrecha |
En el Explorador de archivos, activa las extensiones: Vista > Mostrar > Extensiones de nombre de archivo. En Windows 10, la casilla está en la cinta Vista. Se hace una vez por cuenta. Es el ajuste más útil para quien recibe adjuntos. Sin eso, factura.pdf.exe se lee como factura.pdf y el icono ayuda al engaño.
La guía de extensiones recorre el resto de disfraces, incluidos los nombres de derecha a izquierda. Aquí basta con mirar el último tramo del nombre antes de abrir.
Lo que un extractor cuidadoso sí bloquea
Hay peligro en la estructura, no solo en el archivo de dentro. UnpackNest aplica estas comprobaciones. Cualquier extractor serio debería hacer algo parecido.
- Rutas que se salen («Zip Slip»). Una entrada llamada
../../Inicio/malware.exeintenta escribir fuera de la carpeta que elegiste. UnpackNest la bloquea. - Rutas absolutas y enlaces. Una entrada que apunta a
C:\Windows\…, o un enlace simbólico, puede pisar o enseñar archivos que no ibas a tocar. Se muestran y no se escriben. - Bombas de descompresión. Unos kilobytes que se expanden hasta llenar el disco. Las herramientas ZIP y TAR/GZ rechazan proporciones extremas y respetan topes de tamaño. En ZIP y TAR, cada archivo extraído tiene un tope de 2 GB. En 7z, alrededor de 1 GB.
En RAR, además, se bloquean los enlaces, las entradas cifradas, las que declaran un tamaño desmesurado, las rutas con .., las rutas absolutas y las rutas que, una vez normalizadas, están duplicadas. No es una lista para memorizar. Es el motivo de que una fila salga marcada y el resto se pueda extraer.
Extraer en el navegador no vuelve inocuo el malware. Evita trucos de ruta, enlaces y bombas, y no sube el archivo a un servidor. Un programa que extraes y luego ejecutas sigue siendo peligroso. La guía de privacidad explica la otra mitad: que los bytes no salgan del ordenador. Esta página es la de no ejecutarlos a ciegas.
Lista corta, en orden
- ¿Lo esperabas? Si no, confirma con la persona por otro canal. No respondas al mismo correo: si la cuenta está suplantada, la respuesta vuelve al suplantador.
- Lista antes de extraer. Las herramientas de UnpackNest lo hacen siempre. Si ves programas o accesos directos que no venían a cuento, para.
- Saca solo lo que necesitas. Puedes extraer un PDF y dejar el resto. La guía de extraer un solo archivo es el procedimiento. En un 7z sólido tardará más, y sigue sin ejecutar nada.
- Conserva el aviso de Windows. El Explorador de archivos propaga la marca de descargado. 7-Zip puede hacerlo en Herramientas > Opciones > 7-Zip > Propagate Zone.Id stream. Lo que guardas desde el navegador con UnpackNest es una descarga nueva, y el navegador la marca como tal.
- Analiza si dudas. Microsoft Defender revisa al acceder. También puedes hacer clic derecho y Examinar con Microsoft Defender.
- Ten el extractor, el navegador y el sistema al día. Un extractor viejo es un riesgo real, no un consejo genérico. El fallo de WinRAR de 2023 se corregía actualizando.
- No pulses «Habilitar contenido» en un documento salido de un archivo que no esperabas. Ese botón lanza las macros.
Analizadores en la web
Servicios como VirusTotal contrastan un archivo con muchos motores. Sirven para un programa sospechoso. Subirlo comparte el archivo con el servicio y, a menudo, con investigadores. No subas contratos, nóminas, historiales ni fotos personales a un analizador público. Eso se analiza en local.
Tampoco subas el archivo al formulario de contacto de UnpackNest. No admite adjuntos, y TECCONET no necesita tu ZIP para explicarte un código de error. La contraseña, tampoco. Copia el aviso y el tamaño.
En una oficina
- En la pasarela de correo, bloquea adjuntos ejecutables y archivos cifrados que vengan de fuera, o ponlos en cuarentena para revisarlos.
- Deja las extensiones siempre visibles en Windows.
- Explica al equipo que una contraseña en el mismo correo es una señal de alarma, no una medida de seguridad. Quien envía algo legítimo y cifrado manda la frase por otro canal. La guía de contraseñas dice cómo hacerlo sin imitar el fraude.
Si alguien ya extrajo y ejecutó, no es esta guía la que limpia el ordenador. Desconecta de la red si el programa era claramente un instalador no pedido, y sigue el procedimiento de tu empresa o de un técnico de confianza. Volver a extraer el mismo ZIP «para verlo bien» no deshace la ejecución.
Preguntas frecuentes
¿Abrir un ZIP infecta el ordenador?
Listar un ZIP con una herramienta actual es, en general, seguro. La infección llega al ejecutar algo de dentro. Las excepciones raras son fallos de extractores viejos, y por eso se actualiza. Mirar la lista en UnpackNest no lanza los programas del interior.
¿El RAR es más peligroso que el ZIP?
No por el formato. El peligro es el contenido. RAR y 7z salen algo más en campañas porque algunos filtros los tratan peor que al ZIP. Un RAR de un compañero que sí esperabas no es sospechoso por ser RAR. Un RAR de una factura que no existe, con la contraseña en el texto, sí.
¿Extraer en el navegador me protege del malware?
Te protege de trucos de estructura: rutas, enlaces, bombas. Y el archivo no pasa por un servidor de UnpackNest. No examina si un .exe es malicioso. Si lo guardas y lo ejecutas, el navegador ya no interviene.
Me mandan una ISO dentro del ZIP y dicen que es la factura
Una factura no viaja como imagen de disco. No la montes para comprobarlo. La guía de ISO explica que montar no es un análisis, y que las ISO se usaron precisamente para esquivar avisos de Windows. Pide un PDF suelto, o no abras nada.
El archivo viene de un compañero y aun así me huele mal
Confirma por un canal que ya uses con esa persona: una llamada, otro chat. Las cuentas se suplantan y a veces se secuestran. Un «sí, te lo mandé yo» dicho contestando al mismo hilo no vale. Si te confirma que no lo envió, no extraigas, y avísale de que revise su cuenta.
Herramientas para esta tarea
- Abrir y extraer archivos ZIP en el navegadorStore, Deflate y ZIP64, en tu dispositivo.
- Abrir y extraer archivos RAR en el navegadorRAR4 y RAR5, leídos en tu dispositivo.
- Abrir archivos 7z y volúmenes .7z.001LZMA/LZMA2, AES-256 y archivos partidos.