Attenti ai video, hacker usano sottotitoli come 'chiave'

Check Point ha scoperto un nuovo vettore d’attacco che sta minacciando centinaia di milioni di utenti dei più comuni media player, tra i quali VLC, Kodi (XBMC), Popcorn Time e Stremio. Confezionando sottotitoli malevoli, che vengono poi scaricati dagli utenti, gli hacker possono potenzialmente ottenere il completo controllo di qualsiasi dispositivo abbia in esecuzione la piattaforma vulnerabile. E' quanto si legge in una nota diffusa dalla società specializzata in sicurezza informatica.

I sottotitoli di film e programmi TV sono creati da un’ampia moltitudine di sottotitolatori, e caricati su siti online condivisi come OpenSubtitles.org, dove vengono indicizzati e classificati. I ricercatori di Check Point hanno inoltre dimostrato che, attraverso la manipolazione dell’algoritmo di ranking dei siti, i sottotitoli malevoli possono essere automaticamente scaricati dal media player, permettendo così agli hacker di prendere il controllo dell’intera catena di distribuzione dei sottotitoli senza l’interazione dell’utente. 

Poiché le vulnerabilità sono state segnalate, tutte e quattro le aziende hanno risolto i problemi segnalati. Stremio e VLC hanno anche rilasciato nuove versioni del software che incorporano questa correzione. Check Point, si legge infine nella nota, ha ragione di credere che simili vulnerabilità esistano anche in altri media player per lo streaming.

"La catena di distribuzione dei sottotitoli è complessa, con oltre 25 diversi format per sottotitoli attualmente in uso, tutti con caratteristiche e capacità uniche. Questo ecosistema frammentato, insieme alla limitata sicurezza, implica che vi siano molteplici vulnerabilità che possono essere sfruttate, rendendoli un target immensamente attrattivo per gli hacker", ha detto Omri Herscovici, vulnerability research team leader di Check Point. 

"Abbiamo ora scoperto che i sottotitoli malevoli possono essere creati e distribuiti automaticamente a milioni di dispositivi, oltrepassando i software di sicurezza e dando a chi attacca il pieno controllo del dispositivo infetto e dei dati che contiene", conclude.