看个视频也被黑?加载字幕文件触发播放器漏洞实现系统入侵

Checkpoint研究人员最近发现了一种新型攻击手段–字幕攻击,当受害者加载了攻击者制作的恶意字幕文件后将会触发播放器漏洞,从而实现对受害者系统“悄无声息”地完全控制。据测试发现,该攻击方法可以在多个知名视频播放器存在漏洞的版本软件上成功实现,目前,由于这些涉漏洞视频软件的全球下载量超过2亿次,并被用户在各种播放设备平台中使用,所以这种攻击方法将可能成为近年来影响广泛、传播深远的入侵手段之一。

攻击简介

当你想在电脑上观看影片时,很自然地打开视频播放器,加载字幕,当然遇到一些“生肉”影片时,我们还可能在网上千方百计寻找字幕,好吧来个葛优躺,….两小时过去了,殊不知,当你在完全放松欣赏大片的时候,黑客早已经悄悄入侵了你的电脑,把该干的事都干了。这种字幕攻击手段可能是最最容易被用户忽视和防范的黑客攻击技术,因为对于普通用户和播放器来说,都会把字幕文件认为是可信文件。

对于攻击者来说,他们可能会制作一些专门的恶意字幕库,然后通过各种手段向受害者推送这些恶意字幕文件,诱导受害者加载使用。而对用户来说,这种毫无防范意识的攻击将会是最危险的攻击。

当前,这种攻击在根源和意识方面,杀毒软件等各类安全厂商都还不具备检测识别能力,从某种程度上来说,这更增加了用户风险。

受影响用户

范围:据统计,因为目前每一种播放器的涉漏洞版本都存在数百万计的用户下载量,所以该攻击方法影响用户可能达数亿人之多。仅VLC在去年6月推出的最新版本下载量就达1亿7000万;Kodi (XBMC)每天使用人次达1000万,月用户达4000万;暂无统计信息的Popcorn Time使用量估计也是数百万。

影响:攻击者利用这种攻击,可以轻松控制电视、平板、手机….等使用视频播放器的各类系统设备。当然这种攻击将可能造成一些严重的潜在影响,如信息窃取、勒索攻击、DDoS等等。

受影响的视频播放器软件

截止目前,我们仅对当前流行的四种视频播放器VLC、Kodi、Popcorn Time、Stremio进行了漏洞识别和攻击方式成功测试,这种问题在其它视频播放器中同样存在。我们已把相关漏洞和问题向厂商方面进行了及时的沟通和上报,目前,有些漏洞和问题已被修复处理,有些则处于测试核查阶段。为了给厂商方面更多的时间来解决这些漏洞,我们在此暂且不公布一些具体的测试方法和技术信息。

已经发布更新的视频软件

Popcorn Time:推出了一个修复版本软件,可以从此链接手动下载安装;

Kodi:可以通过其官方网站下载安装修复版本;

VLC:可以通过其官方网站下载安装修复版本;

Stremio:可以通过其官方网站下载安装修复版本。

入侵检测IPS签名定义

Popcorn Time Subtitles Remote Code Execution Kodi Open Subtitles Addon Remote Code Execution VLC ParseJSS Null Skip Subtitle Remote Code Execution Stremio Subtitles Remote Code Execution

攻击的传播实现方式

深入探究字幕服务链后将会发现其中一些有意思的结果,恶意字幕文件被攻击者制作出来后,可能会被上传到如OpenSubtitles.org等在线库中进行共享。之后,攻击者通过操作这些共享网站的库文件排名算法,可以把预先制作的恶意字幕文件列为视频播放器的优先选择,并被播放器自动加载使用。黑客无需借助中间人攻击(MITM)或其它交互手段,只需对恶意字幕文件的整个服务和推送链进行控制,就可实现对目标系统的隐蔽入侵控制。当然了,这种攻击可能还会对那些依赖排名进行字幕文件下载选择的用户造成威胁影响。该攻击的大致流程如下:

原文发布于微信公众号 - FreeBuf(freebuf)

原文发表时间:2017-05-31

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏FreeBuf

保护物联网安全的6条基本原则,你做到了几条?

随着物联网深入普及,点进来看这篇文章的你肯定也听说过各种关于“物联网宿命”的预言。任何联网的设备,例如,监控摄像、路由器、数字视频记录器、可穿戴设备、智能灯等都...

20010
来自专栏安全领域

8种简单方法降低你的网络风险

随着我们的生活和工作越来越多地通过网络进行,我们的个人信息受到侵害和非法使用的风险也在相应增加。

1132
来自专栏大数据文摘

数据安全——黑客来袭,如何保护自己?

1963
来自专栏FreeBuf

新型鼠标光标劫持攻击将允许攻击者劫持GoogleChrome会话

近期,研究人员发现了一种新型的技术支持诈骗技术,攻击者可以利用这种技术来劫持Google Chrome用户的浏览会话。

803
来自专栏FreeBuf

网络罪犯:互联网丛林中的捕猎者

作者 Rabbit_Run 概述 任何使用互联网的人都身处危险之中,不分你年龄几何,不管你在网络上喜欢做什么。网络罪犯能够部署一个强大的军火库,瞄准任何可能的...

2176
来自专栏花叔的专栏

小程序2017年最后一波更新?

小程序又在半夜更新.... 这次更新内容非常多,但大多是之前公开课就提及过的。 1 实时音视频录制及播放能力升级 重点要提提这个更新,实时录制音视频组件和...

2775
来自专栏黑白安全

告诉你怎么样用WIFI逐步渗透至内网

这个是我帮助朋友公司做的一个渗透测试,在这之前,并没有收到任何相关信息,唯一的可用渠道就是WIFI,而对方的要求就是希望我测试一下,整个网络是否安全,是否存在漏...

1274
来自专栏人人都是极客

做嵌入式开发知道这些,你才看起来像个高手!

做嵌入式系统开发,经常要接触硬件,需要对数字电路和模拟电路要有一定的了解,这样才能深入的研究下去。下面我们简单地介绍一下嵌入式开发中的一些硬件相关的概念。

1502
来自专栏安恒信息

IE8爆出0day,影响所有版本Windows

日前,安全研究人员发现IE8的0day(CVE-2013-1347)被应用于攻击美国政府的核武器科学家和研究人员中,微软发布警告所有Intern...

2867
来自专栏Debian社区

STIG for Debian 9发布

随着 Debian”Stretch” 9 的正式发布和大规模部署,HardenedLinux 社区也发布了 STIG(安全技术实现指南) for Debian ...

982

扫码关注云+社区

领取腾讯云代金券