Как взломать Second Life через QuickTime

Специалист по безопасности Чарли Миллер (Charlie Miller) рассказал, как ему в 2007 году удалось взломать игру Second Life и создать виртуальный объект, который грабит прохожих. Этот объект можно было поместить где угодно — в лесу, в баре, посреди оживлённой улицы, или повесить в воздухе.

Уязвимость связана с тем, что в Second Life используется QuickTime Player для отображения мультимедиа. Для него есть известные дыры, причём некоторые до сих пор не закрыты. Одну из таких дыр и использовал Чарли Миллер, который сделал маленький розовый кубик с анимацией на всех гранях. Если аватар взглянет на кубик (на фото показано, как одна из жертв делает это), то он будет автоматически взломан. Можно похитить виртуальное имущество человека и даже получить доступ к счёту в реальном банке, который привязан к аккаунту Second Life.

Чарли Миллер написал этот хак ещё в 2007 году. Он говорит, что это самый интересный эксплойт, который создал в своей жизни: ведь люди реально могли с ним контактировать, смотреть на него и даже трогать.

На видео показано, как вредоносный объект заставляет проходящую мимо гражданку заплатить 12 линден-долларов и прокричать слова «I’ve been hacked».



P.S. Интересно, а есть ли в нашем офлайновом мире аналогичные «эксплойты», которые при взгляде на них автоматически повышают давление или уровень гормонов в крови? Учёные говорят, что такие эксплойты существуют. Что поделаешь, природа тоже несовершенна и оставляет некоторые незакрытые уязвимости.

P.P.S. После публикации этой истории вчера на Slashdot компания Apple закрыла упомянутую уязвимость в QuickTime.