ziphandler.py

import zipfile
import io
import logging

CHUNK_SIZE = 64 * 1024

def zip_scan_handler(data: bytes) -> str:
    """
    Scannt ein (verschachteltes) ZIP-Archiv komplett im Speicher.
    - Erkennt ZIPs anhand des PKZIP-Magic-Headers (b'PK\\x03\\x04').
    - Entpackt rekursiv und prüft jeden Eintrag chunkweise.
    - Gibt 'FOUND <Sig>' zurück, wenn irgendwo eine Signatur matched,
      sonst 'OK'.
    """
    # 1) Erkennen: Magic-Bytes prüfen
    if not data.startswith(b'PK\x03\x04'):
        return "OK"

    def scan_stream(stream: io.BytesIO) -> str:
        try:
            with zipfile.ZipFile(stream) as zf:
                for info in zf.infolist():
                    # Eintrag öffnen
                    with zf.open(info) as entry:
                        # Wenn selbst ZIP → rekursiv prüfen
                        if info.filename.lower().endswith('.zip'):
                            nested = io.BytesIO(entry.read())
                            result = scan_stream(nested)
                            if result.startswith("FOUND"):
                                return result
                            else:
                                continue

                        # sonst chunkweise prüfen
                        while True:
                            chunk = entry.read(CHUNK_SIZE)
                            if not chunk:
                                break
                            # Beispiel-Signaturtest: 'eicar'
                            if b"eicar" in chunk.lower():
                                return "FOUND Dummy.Test.Virus"
                return "OK"
        except zipfile.BadZipFile:
            logging.error("Bad zip file in handler")
            return "OK"

    # Starte Scan mit dem kompletten Daten-Stream
    return scan_stream(io.BytesIO(data))