A empresa de segurança Checkpoint anunciou na terça-feira (23) que uma equipe descobriu uma nova vulnerabilidade em diversos players de mídia que permite que um invasor tome o controle de qualquer dispositivo quando um arquivo de legendas malicioso é utilizado. A companhia estima que 200 milhões de pessoas estejam potencialmente em risco.

Do alerta da Checkpoint:

Nossos pesquisadores revelam uma nova possibilidade de vetor de ataque, utilizando uma técnica completamente ignorada na qual um ciberataque é entregue quando legendas de filmes são carregadas pelo tocador do usuário. Repositórios de legendas são, na prática, tratados como uma fonte segura pelo usuários e pelo media player; nossa pesquisa também revela que esses repositórios podem ser manipulados e fazer com que as legendas de um invasor ganhem uma avaliação positiva, o que faz com que essas legendas específicas sejam servidas para os usuários. Esse método requer pouca ou nenhuma ação deliberada pelo usuário, tornando tudo mais perigoso.

Ao contrário de vetores de ataque tradicionais, com os quais empresas de segurança e usuários estão familiarizados, as legendas de filmes são percebidas como nada mais do que arquivos de textos inocentes.

Para ficar claro, se você está utilizando um tocador qualquer para assistir uma cópia legítima de um filme que já possui legendas, você não tem com o que se preocupar. Mas se por qualquer motivo você visitou um dos vários sites que permitem que você baixe legendas para filmes em diversos idiomas, é possível que esteja em risco. As pessoas baixam esses arquivos por muitos motivos, não apenas por pirataria. Existe uma comunidade crescente de pessoas que traduzem diálogos de filmes para ajudar as pessoas, mas, infelizmente, podem existir algumas personalidades ruins nesse meio.

São esses os media players afetados e como atualizá-los:

PopcornTime – já criaram uma versão com correção, no entanto, ela não está disponível para ser baixada no site oficial. Mas dá para fazer o download manualmente aqui.

Kodi – também já liberou uma versão corrigida, mas só foi liberado o código fonte. Essa versão ainda não está disponível para baixar no site oficial. O link para o código fonte de correção está aqui.

VLC – Corrigiu a brecha e já disponibilizou uma nova versão no seu site oficial.

Stremio – Corrigiu a brecha e já disponibilizou uma nova versão no seu site oficial.

Os pesquisadores também descobriram que é extremamente fácil manipular o algoritmo de um site como o OpenSubtitles.org para se garantir que os arquivos maliciosos fiquem no topo dos resultados de busca.

É melhor atualizar seus softwares.