Todo programa y aplicación es susceptible de recibir un ataque a través de una vulnerabilidad. La última gran vulnerabilidad tiene que ver con VLC, Kodi, Popcorn Time y Stremio, los cuales se han visto afectados por la posibilidad de verse infectados por un virus a través de archivos de subtítulos, a través del cual pueden lograr el control total de las plataformas vulnerables.

Mucho ojo con los subtítulos que descargas

Hay decenas de webs para descargar subtítulos, y una de las más utilizadas (y no precisamente de las mejores) es OpenSubtitles. Cuando navegamos por esa web, hay que andarse con mucho cuidado. Siempre es recomendable utilizar otras alternativas más seguras, como Subscene, que recoge los mejores para películas y series. También tenemos otras webs como Addic7ed o Tusubtitulo. Lo importante es descargar los archivos de uploaders verificados.

En todas estas webs, los subtítulos son subidos por todo tipo de usuarios. Los investigadores de Check Point, que han sido quienes han descubierto la vulnerabilidad, demostraron también que es posible manipular el algoritmo por el que se posicionan los subtítulos en estos repositorios, pudiendo posicionar mejor los subtítulos infectados. En plataformas como Kodi, con el addon de OpenSubtitles.org, los subtítulos infectados pueden incluso bajarse de manera automática sin que el usuario se dé cuenta.

En total, son cientos de millones de usuarios los que utilizan las aplicaciones y programas infectados por esta vulnerabilidad. VLC cuenta con más de 200 millones de descargas, mientras que Kodi cuenta con 40 millones de usuarios únicos al mes, y se estima que Popcorn Time es usado por decenas de millones de personas.

Kodi y VLC todavía son vulnerables. Serán parcheados esta semana

Check Point, que ya comunicó a todas las empresas la vulnerabilidad, ha demostrado en un vídeo cómo funciona el ataque, el cual se realiza además de manera remota, y permite controlar el PC. En el vídeo podemos ver cómo funciona el exploit en Popcorn Time y Kodi. Aunque no lo han comprobado, desde Check Point afirman que la vulnerabilidad podría afectar a muchos más reproductores multimedia. No han revelado ningún dato técnico para evitar que se replique este ataque.

Todos los programas y aplicaciones que se han visto afectados por el fallo están trabajando para subsanarlo lo antes posible. Kodi afirma que ya están al tanto del problema y que el exploit va a estar subsanado en la versión 17.2 que saldrá a lo largo de esta semana. VideoLAN, por otra parte, afirma que el gran fallo que permitía el exploit fue arreglado en la versión 2.2.5, y que el resto de vulnerabilidades serán arregladas en la versión 2.2.6 que lanzarán más adelante.

Con respecto a Popcorn Time (PopcornTime.sh), los desarrolladores han confirmado a TorrentFreak que hace unos meses que ya habían parcheado el problema después de que le hubieran contactado los investigadores. Popcorn Time usa OpenSubtitles, pero afirma que limpian los subtítulos antes de permitir usarlos en el servicio. Otros proyectos similares como Butter Project o Popcorn-Time.to también lo tienen subsanado.