Crackear contraseñas de archivos ZIP, RAR y 7-Zip

Un archivo protegido por contraseña parece, visto desde fuera, un solo problema: tienes un .zip, un .rar o un .7z y ninguna contraseña. Por debajo son en realidad tres problemas distintos, porque ZIP, RAR y 7-Zip cifran cada uno de forma diferente, y dos de ellos tienen más de una variante según la herramienta que creó el archivo. Si extraes bien y eliges el modo correcto, esto es trabajo de diccionario rutinario. Si te equivocas, hashcat rechaza la línea directamente o crackea en silencio sin encontrar nada.

Primero, extrae el hash

Ninguno de estos formatos te da un hash utilizable con solo mirar el archivo. Ejecutas el extractor de John the Ripper correspondiente, incluido en la distribución jumbo:

zip2john secreto.zip > zip.hash
rar2john secreto.rar > rar.hash
7z2john.pl secreto.7z > 7z.hash

Cada uno imprime una línea de hash con el prefijo $zip2$, $pkzip2$, $RAR3$, $rar5$ o $7z$, según lo que encuentre dentro del archivo. Ese prefijo es el paso de identificación: te dice qué modo de hashcat usar, de la misma forma que identificar un hash desconocido parte de la forma de la cadena en lugar de una suposición. La línea que producen estas herramientas es aceptada tal cual por hashcat; no necesitas reformatearla.

Elegir el modo

Si el prefijo no coincide claramente con ninguno de estos, sigue cómo encontrar el modo hashcat correcto en lugar de forzar un modo asumiendo que la falta de resultado significa que la contraseña es fuerte — puede que solo signifique que extrajiste el tipo de hash equivocado.

Lanzar el ataque

Con el modo correcto en mano, es el mismo flujo de diccionario y reglas de siempre:

hashcat -m 13600 zip.hash rockyou.txt -r rules/best64.rule
hashcat -m 13000 rar.hash rockyou.txt -r rules/best64.rule
hashcat -m 11600 7z.hash rockyou.txt -r rules/best64.rule

John the Ripper puede crackear los mismos archivos extraídos directamente, normalmente sin forzar un formato porque lo detecta automáticamente a partir del prefijo de la línea:

john zip.hash --wordlist=rockyou.txt
john --show zip.hash

Por qué la velocidad varía tanto entre estos tres formatos

Aquí es donde el formato importa más que el diccionario. El modo AES de WinZip (13600) y RAR3-hp (12500) derivan ambos su clave con un paso relativamente ligero basado en SHA-1 o de una sola pasada, así que una GPU procesa muchos más candidatos por segundo de lo que haría contra un hash deliberadamente lento. RAR5 y 7-Zip son otra historia: ambos hacen pasar la contraseña por un paso de derivación de clave iterado y configurable basado en PBKDF2/SHA-256 antes de que la clave llegue siquiera a AES, así que el rendimiento en el mismo hardware es muchísimo menor que contra RAR3-hp o WinZip AES. La misma diferencia aparece entre el cifrado de Office/PDF y los hashes en bruto, y por la misma razón: el número de iteraciones es una decisión de diseño deliberada para encarecer la fuerza bruta, no un accidente.

Esa diferencia debe guiar tu enfoque, no solo tu paciencia. Contra RAR3-hp o el PKZIP antiguo, una lista grande combinada con reglas es viable. Contra RAR5 o 7-Zip, trátalos como un hash bcrypt fuerte: una lista corta y específica vale más que recorrer rockyou a unos pocos miles de intentos por segundo, y un ataque de máscara más allá de siete u ocho caracteres rara vez es realista en hardware de consumo.

La conclusión

Las contraseñas de archivos caen con el mismo proceso que cualquier otro hash offline: extraer correctamente, identificar la variante exacta a partir del propio prefijo del hash, elegir el modo que corresponde, y luego gastar tu cómputo donde cuenta. La única trampa real es tratar «ZIP» o «RAR» como un solo tipo de hash cuando cada uno es en realidad una pequeña familia, y lanzar el modo equivocado de la familia desperdicia una sesión sin decirte nada útil sobre la fortaleza de la contraseña.