Ist es nicht so, dass das Programm einfach ein Passwort rät, den Hash generiert, und dann guckt, ob er mit dem Hash aus dem Zip übereinstimmt? Die Schnelligkeit hier liegt vermutlich daran, dass nur aus Ziffern bestehende Passwörter zuerst getestet werden. Also wie wenn beim Fahrradschloss die tatsächliche Kombination 1234 schneller geknackt ist als 9876, einfach nur, weil die Kombination beim Raten früher auftaucht.
Wahrscheinlich kann man John the ripper auch noch konfigurieren, sodass die geratenen Kombination in anderer Reihenfolge auftauchen.