视频木马的制作与防范

       上周五，来自SANS互联网响应中心和多家反病毒厂商的消息，Real Networks公司的媒体播放器软件Real Player的Windows版本中存在一个漏洞，攻击者可以利用这个漏洞向用户的系统植入恶意代码。目前已经确认该漏洞会影响Real Player 10/10.5/11 Beta版本。针对视频进行恶意代码的添加由来已久，因为Real Player播放器的覆盖面太广，以致于黑客将RM等视频格式当作最主要的攻击手段。

       RM视频中的恶意代码思路主要是通过RealMediaEditor中的某个组件完成的，大体思路是将网页木马集成到RM视频中，在播放过程中即可弹出恶意代码窗口，达到攻击目的。
 

    防范RM视频木马的方法也很简单：RMRepair就是专门应对RM视频木马的，选择好可疑的视频文件，直接清除即可。建议用户以后在观看RM类视频时都提前扫描一次。

    另外针对其它视频格式也应该注意，比如WMV和MOV文件，WMV文件使用的是Microsoft Windows媒体播放器数字权限管理加载任意网页漏洞，利用WMDRM将恶意代码插入到视频，给用户一种DRM验证的假象。DRM验证已经成为Windows媒体播放器的软肋，很多攻击方式都是采用DRM验证机制进行的，虽然DRM对版权保护起到了推动作用，但其外部特征验证基本为零，使得很多恶意程序趁虚而入。而基于QuickTime的MOV视频则利用了HREF文本轨道，利用事件代码把木马集成进去。

    其实不管是何种视频木马，都是利用了web木马原理，将木马绑定网页，再通过播放器本身的一些功能调用这个网页。所以最彻底的解决方法就是禁止播放器访问网络，以Real Player为例，利用防火墙的信任规则禁止Real Player访问网络，或者利用HIPS软件监控其行为。这样不管视频是否包含木马，都不会遭到攻击。