恶意电影字幕来了！3秒钟就能控制你的电脑。

对于电影爱好者来说，下载电影字幕是常事。但有研究人员发现，互联网上出现了大量恶意电影字幕，可以通过一个媒体播放器加载，控制受害者的电脑，攻击过程只需要3秒钟。

恶意电影字幕攻击演示视频

安全研究人员指出，攻击者会利用主流媒体播放器的一些漏洞，用恶意字幕文件攻击用户的电脑。截至目前，市场上的四个主流媒体播放器，包括VLC、Kodi、爆米花时间、strem.io等媒体播放器或流媒体平台，都被发现存在相关漏洞。据估计，全球约有2亿用户将受到影响。

现在流行的字幕格式已经超过25种，这使得上述媒体播放器需要分析不同的字幕格式来保证用户的流畅体验，这自然使得他们无法兼顾所有字幕格式的安全性。

恶意电影字幕攻击流程图

从恶意电影字幕攻击的流程图可以发现，攻击者制作了恶意电影字幕文件，然后上传到主流字幕数据库。通过提高其排名，更多的用户加载了媒体播放器的恶意字幕，然后他们被感染。

在上面的视频中，研究人员展示了两个媒体播放器Popcorn-Time和Kodi的攻击。当用户通过这两款播放器播放电影并加载恶意字幕文件时，攻击者可以远程控制用户的设备，这些设备不仅可以是PC，也可以是互联网电视或移动终端(手机、平板)，进而窃取用户的敏感数据，甚至安装勒索软件。

然而，这可能只是冰山一角，更多的媒体播放器可能会受到上述漏洞的威胁。据统计，目前VLC的最新版本已被下载超过1.7亿次，Kodi每月有4000万不同用户使用，因此其影响力相当广泛。幸运的是，VLC和斯特雷米奥已经紧急推出了最新版本的软件，而PopcornTime和Kodi已经修补了漏洞，但他们还没有发布最新版本，所以用户只能更加小心。