字幕在看着你：利用惡意字幕檔案劫持計算機

安全公司 check point 的研究人員披露了一種新型的攻擊手段——字幕攻擊。字幕主要被使用者使用觀看非母語視訊，中國有着非常活躍的字幕翻譯和制作社群。

研究人員稱，通過制作惡意的字幕檔案，在被受害者的播放軟體下載下傳和加載後，可利用流行流媒體平台的漏洞遠端執行代碼去控制任何裝置，包括計算機、電視和移動裝置。受影響的軟體包括 vlc、kodi (xbmc)、popcorn-time 和 strem.io，使用這些有漏洞軟體的使用者接近 2 億。

字幕檔案是一種文本檔案，通常被認為無害。研究人員上傳了一個概念驗證原型視訊，稱受影響的播放軟體已經釋出了修正，建議使用者盡快更新，這些更新可能還沒有推送給使用者，使用者可以手動下載下傳。