[情報] 惡意 SRT 字幕檔漏洞

[jmlntw (吉米林)]

Hacked in Translation - from Subtitles to Complete Takeover | Check Point Blog
http://blog.checkpoint.com/2017/05/23/hacked-in-translation/

Beware! Subtitle Files Can Hack Your Computer While You're Enjoying Movies
http://thehackernews.com/2017/05/movie-subtitles-malware.html

國外研究發現 VLC、Kodi(XBMC)、Popcorn Time、Stremio 有安全漏洞，
駭客可以透過一個惡意的 SRT 字幕檔案入侵使用者的電腦。


實際 DEMO 影片：https://www.youtube.com/watch?v=vYT_EGty_6A

使用者在播放程式載入 SRT 字幕檔之後，駭客就能完全操作受害者的電腦。

不過在專家通報這個漏洞之後，這些播放程式都已經做出修正。

Stremio 出了 4.0 beta 版補洞、VLC 最近兩周內會出 2.2.5 補洞、
Kodi 預計在這周出 17.2 補洞、Popcorn Time 已經釋出修正檔。

建議有在使用這些播放軟體的人最近多留意一下。

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 36.224.0.211
※ 文章網址: https://www.ptt.cc/bbs/AntiVirus/M.1495624684.A.BDC.html
※ 編輯: jmlntw (36.224.0.211), 05/24/2017 19:18:22
推 ilanese: 謝謝！以前好像沒聽過這類病毒。
推 jh961202: MPC-HC沒事？
推 amudi: 很少人會用SRT吧...不都是SSA取播?
推 mokumi: 好恐怖 我以為字幕檔不會怎樣 從沒想過要防耶
推 iComeInPeace: 無感，都看itunes上的而已
推 ronga: 是指Srt的文件含有惡意碼，一讀檔就被駭嗎?
推 estupid: SRT可以用純文字文件開 打開來看應該看得出古怪吧
→ ross800127: 單純是這些撥放器有漏洞而已 所以軟體記得要更新..
推 s8321414: VLC 2.2.6出了
→ s8321414: Kodi 17.2 也出了
推 purplvampire: 不是沒事，是只測試這四款而已
→ ilanese: 下載VLC要注意checksum，我從國網中心下載的VLC2.2.6版被
→ ilanese: 小紅傘說有毒，檢查所下載檔案的checksum又跟官網不一樣
→ ilanese: 。
→ ilanese: 小紅傘說VLC 2.2.6版的spad-setup.exe有問題。
→ ilanese: 訊息如下：
→ ilanese: 'ADWARE/Adware.Gen [adware]' 的模式
→ ilanese: 在檔案 'R:\vlc-2.2.6\spad-setup.exe 中偵測到。
→ hn9480412: 不是直接從官網下載嗎？
推 ilanese: 在官網下載，但官網預設的台灣mirrorI網站是國網中心。
推 ilanese: 今天又下載一次還有用小紅傘掃毒一次，這次沒叫了。
→ ilanese: 更新小紅傘之後沒叫，可能是誤報吧？
推 gj942l41l4: .....這好可怕
推 TobyH4cker: 現在很多免費軟體安裝程式都是adware，離線再安裝就好
→ TobyH4cker: ，不然就是要自己注意選項，adware不是什麼可怕的東西
→ TobyH4cker: 可怕的是你一直點下一步然後就申裝hao123了