Viry se mohou šířit již i prostřednictvím titulků u videa

Nová útočná metoda může ohrozit stovky milionů uživatelů populárních přehrávačů médií, včetně VLC, Kodi (XBMC), Popcorn Time a Stremio. Vytvořením škodlivých titulků, které si diváci stáhnou, mohou útočníci získat kontrolu nad jakýmkoli zařízením, na kterém jsou spuštěny zranitelné platformy.

„Dodavatelský řetězec titulků je velmi složitý. Používá se více než 25 různých formátů titulků, všechny s jedinečnými funkcemi a vlastnostmi. Tento roztříštěný ekosystém spolu s omezenou bezpečností znamená, že existuje mnoho zranitelností, které lze zneužít, což je pro útočníky velmi atraktivní,“ uvedl Omri Herscovici, vedoucí týmu výzkumu zranitelností ve společnosti Check Point. „Zjistili jsme, že lze vytvářet a automaticky doručit škodlivé titulky na miliony zařízení, což obejde bezpečnostní software a útočníkovi dá plnou kontrolu nad infikovaným zařízením a daty.“

Výzkumný tým společnosti Check Point odhalil zranitelnosti ve čtyřech populárních přehrávačích médií: VLC, Kodi, Popcorn Time a Stremio. Check Point v návaznosti na tato zjištění o zranitelnostech dále informoval. Hackeři byli schopni zneužitím zranitelností v postižených platformách převzít kontrolu nad zařízením pomocí škodlivých souborů.

Titulky pro filmy nebo televizní pořady vytváří velké množství nejrůznějších autorů a titulky jsou nahrávány do sdílených online archivů, jako je třeba OpenSubtitles.org, kde jsou titulky seřazeny a hodnoceny. Výzkumníci společnosti Check Point rovněž upozorňují, že lze manipulovat s algoritmem pro hodnocení titulků, aby přehrávače médií automaticky stáhly právě škodlivé titulky. Hackeři tak získávají kontrolu nad celým dodavatelským řetězcem titulků, aniž by uživatel cokoli udělal.

Jakmile byly informace o zranitelnostech zveřejněny, všechny čtyři společnosti hlášené problémy opravily. Stremio a VLC vydaly také nové softwarové verze, které opravy obsahují.

Například VLC má více než 186 milionů stažení nejnovější verze, která byla vydána 5. června 2016. Kodi (XBMC) překročil deset milionů unikátních uživatelů za den a téměř 40 milionů unikátních uživatelů za měsíc. Zatím nejsou k dispozici oficiální statistiky o využití Popcorn Time, ale podle odhadů jde o desítky milionů.

Check Point má důvod se domnívat, že podobné zranitelnosti existují i v jiných streamovacích přehrávačích médií.