Hackeři mohou zneužít titulky a převzít kontrolu nad miliony přístrojů

Ohrožení platí pro stovky milionů uživatelů populárních přehrávačů médií, včetně VLC, Kodi (XBMC), Popcorn Time a Stremio. Vytvořením škodlivých titulků, které si diváci stáhnou, mohou útočníci získat plnou kontrolu nad jakýmkoli zařízením, na kterém jsou spuštěny zranitelné platformy.

„Dodavatelský řetězec titulků je velmi složitý. Používá se více než 25 různých formátů titulků, všechny s jedinečnými funkcemi a vlastnostmi. Tento roztříštěný ekosystém spolu s omezenou bezpečností znamená, že existuje mnoho zranitelností, které lze zneužít, což je pro útočníky velmi atraktivní,“ uvedl Omri Herscovici, vedoucí týmu výzkumu zranitelností ve společnosti Check Point. „Zjistili jsme, že lze vytvářet a automaticky doručit škodlivé titulky na miliony zařízení, což obejde bezpečnostní software a útočníkovi dá plnou kontrolu nad infikovaným zařízením a daty.“

Výzkumný tým společnosti Check Point odhalil zranitelnosti ve čtyřech populárních přehrávačích médií: VLC, Kodi, Popcorn Time a Stremio. Check Point v návaznosti na tato zjištění o zranitelnostech dále informoval. Hackeři byli schopni zneužitím zranitelností v postižených platformách převzít kontrolu nad zařízením pomocí škodlivých souborů.

Titulky pro filmy nebo televizní pořady vytváří velké množství nejrůznějších autorů a titulky jsou nahrávány do sdílených online archivů, jako je třeba OpenSubtitles.org, kde jsou titulky seřazeny a hodnoceny. Výzkumníci společnosti Check Point rovněž upozorňují, že lze manipulovat s algoritmem pro hodnocení titulků, aby přehrávače médií automaticky stáhly právě škodlivé titulky. Hackeři tak získávají plnou kontrolu nad celým dodavatelským řetězcem titulků, aniž by uživatel cokoli udělal.

Hrozba zažehnána?

Jakmile byly zveřejněny informace o zranitelnostech, všechny čtyři společnosti opravily hlášené problémy. Stremio a VLC vydaly také nové softwarové verze, které opravy obsahují. „Pro ochranu a minimalizování rizika spojeného s případným útokem by měli všichni uživatelé zkontrolovat, jestli používají nejnovější verze streamovacích přehrávačů,“ dodal Herscovici.

VLC má více než 186 milionů stažení nejnovější verze, která byla vydaná 5. června 2016. Kodi (XBMC) překročil 10 milionů unikátních uživatelů za den a téměř 40 milionů unikátních uživatelů za měsíc. Zatím nejsou k dispozici oficiální statistiky o využití Popcorn Time, ale podle odhadů se jedná o desítky milionů. Check Point má důvod se domnívat, že podobné zranitelnosti existují i v jiných streamovacích přehrávačích médií.