7-Zip Archive
| Format | 7-Zip Archive |
|---|---|
| Kurzname | 7Z |
| Kategorie | Archiv |
| Plattformen | Windows, macOS, Linux, iOS, Android, QNX |
| Crush Unterstützung | Unterstützt (SevenZipVFS) |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
Universelles Archivformat mit hohen Kompressionsraten (LZMA/LZMA2). Zunehmend als Container für Ausgaben forensischer Tools und für exfiltrierte Daten zu sehen, wegen der starken optionalen AES-256-Verschlüsselung der Dateiinhalte und, mit aktivierter Header-Verschlüsselung, auch der Dateiliste selbst. Ein 7z mit verschlüsseltem Header gibt ohne Passwort keinen Einblick in den Archivinhalt (Namen, Größen, Zeitstempel). Ein 32-Byte-Signatur-Header an Offset 0 verweist auf den Archiv-Header am Dateiende, der die Dateiliste enthält. Zeitstempel werden als UTC-FILETIME mit 100 ns Genauigkeit gespeichert (Änderungszeit immer, Erstellungs- und Zugriffszeit optional). Solid-Kompression (Standard) fasst mehrere Dateien in gemeinsamen Kompressionsblöcken zusammen. Ein einzelner beschädigter Block kann daher die Wiederherstellbarkeit mehrerer unabhängiger Dateien zugleich beeinträchtigen, ein Nachteil gegenüber der Kompression pro Datei bei ZIP. In der Praxis beim Bündeln von Malware-Droppern gesehen (Kompressionsrate und optionale Verschlüsselung helfen beide, signaturbasierte Scans und Inhaltsprüfungen zu umgehen), ebenso bei legitimen Exporten von Sicherungstools.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 0 (0x0) | 37 7A BC AF 27 1C | 7z..'. | 7z-Signatur ('7z' BC AF 27 1C), gefolgt von der Formatversion |
Bekannte Dateiendungen
.7z
Referenzen
- 7z format overview and features (7-Zip) https://www.7-zip.org/7z.html
- .7z format specification (py7zr documentation) https://py7zr.readthedocs.io/en/latest/archive_format.html
- 7z format overview (Wikipedia) https://en.wikipedia.org/wiki/7z
Diesen Eintrag zitieren
Crush-Format-Referenz, „7-Zip Archive“. https://kalink0.github.io/crush-forensics/formats/de/7z/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden