수상한 srt file | srt 바이러스? | srt malformed javascript

srt 악성 파일 주의

 

srt 악성 파일 주의 | 수상한 srt file 

 

요즘 토렌트 사이트에서 자주 발견되는 srt file이 있습니다. 주로 해외 영화와 함께 배포되는 자막 파일이며 file format은 srt 입니다.

윈도 디펜더나 Anti-Virus 프로그램을 통해서 바이러스 점검을 해봐도 바이러스로 나오지는 않지만 Virustotal.com에 해당 파일을 올리면 수상한 정보를 확인할 수 있습니다.

 

srt file 점검 방법

 

srt file virus scan (virustotal.com)

 

virustotal.com 에 영화 자막 파일을 검토해보면 50여 개 정도의 바이러스 검색 엔진을 통해서 한꺼번에 점검을 할 수 있습니다. 그러나 "DETECTION' 항목에는 모두 "Undetected"로 나옵니다.

"DETAILS" 메뉴 부분은 보통 간과하고 지나치기 쉬운데요, 그래도 한 번씩 점검해 보세요.

 

srt 자막파일 수상한 부분

 

srt 자막파일 수상한 부분

 

Virustotal.com에서 파일을 점검할 때, "DETECTION' 이외에도 "DETAILS", "COMMUNITY"와 같은 항목이 나온다면, 각각 확인해보세요.

수상한 부분에 대해서 "빨간색 사각형"으로 하이라이트 했는데요, 위에서부터 살펴보면, "file.php 파일~~UserIp에 나오는 IP, File Type에 JavaScript, Javascript Info에 malformed.

 

srt file : malformed JavaScript?

 

malformed JavaScript

 

 

malformed 라는 용어는 주로 malware, virus와 관련하여 등장하는 용어입니다. 악용 가능성이 있으며 특정한 목적으로 가공된 code가 삽입되었을 가능성이 매우 높습니다.

일반적인 자막 파일이라면 html, css 정도의 tag와 stylesheet가 포함되어 있습니다. 영화 자막 파일에 JavaScript와 같은 Script가 포함되어 있으며, 위 Javascript Info에 나오는 것처럼 "malformed"라고 나오는 파일이 있다면 영상을 play 하지 말고 자막 파일을 바로 삭제하시는 것이 좋을 것입니다.

 

srt 파일에서 참조하는 file.php 파일 및 IP 주소

 

srt에 포함된 IP

 

정말 이해가 안 되는 상황입니다. 위 사진의 "빨간색 사각형" 부분을 확인해보세요.
"srt file에서 file.php 파일과 UserIP=112.184.XXX.108" 부분이 보이는데요, 자막 파일에서 왜 이런 file.php와 해당 IP에 대한 strings가 있는 것일까요?

 

srt 자막파일에서 file.php가 왜 필요할까?

 

srt 파일 관련 취약점

 

srt 파일 관련 취약점

 

srt 파일에 대한 취약점을 검색해봤는데요, srt 파일로 Buffer Overflow 공격까지 할 수 있었군요. 
Video Player 종류가 다르더라도 일단 수상한 파일은 조심하고 봐야 할 것 같습니다.