Een onderzoeker van beveiligingsbedrijf NCC Group heeft onlangs aangetoond hoe hij via een kwaadaardige Blu-ray zowel Windowscomputers als Blu-rayspelers kan aanvallen. Stephen Tomkinson gaf zijn demonstratie tijdens de Secuir-Tay conferentie in Dundee, Schotland.

De aanval die de onderzoeker ontwikkelde maakt gebruik van de mogelijkheden die Blu-ray biedt. Naast een betere beeld- en geluidskwaliteit ten opzichte van dvd ondersteunen Blu-rays ook allerlei "rich features", zoals dynamische menu's, embedded games en de mogelijkheid om aanvullende informatie van internet te downloaden. Deze rich features worden via BD-J ontwikkeld, een variant van Java die met Xlets werkt. Xlets zijn vergelijkbaar met de Webapplets die op websites worden gebruikt. Xlets draaien in een Java Virtual Machine, wat moet voorkomen dat ze toegang tot het systeem.

Aanvallen

De eerste demonstratie van Tomkinson richtte zich op Cyberlink PowerDVD en hoe deze populaire mediaspeler met Xlets omgaat. Een kwetsbaarheid in de software maakt het namelijk mogelijk om de beveiliging van de Xlet te omzeilen en willekeurige uitvoerbare bestanden uit te voeren. Aangezien Blu-rays standaard op systemen met PowerDVD worden uitgevoerd, zou een aanvaller via een besmette Blu-ray de computer kunnen infecteren.

De tweede aanval was tegen een fysieke Blu-rayspeler gericht. Een Xlet die Tomkinson ontwikkelde bleek een programma op de speler aan te kunnen roepen die vervolgens een kwaadaardig bestand van de Blu-ray uitvoerde. Op deze manier wist de onderzoeker roottoegang te krijgen. Om potentiële doelwitten niets te laten vermoeden werd na het uitvoeren van de aanval gewoon de film getoond.

Inmiddels zou er met verschillende leveranciers worden samengewerkt om de gevonden problemen te verhelpen. "Met wisselend succes", merkt Tomkinson op. Hij adviseert gebruikers in de tussentijd om het automatisch afspelen van Blu-rays via de AutoPlay-functie in Windows uit te schakelen. In het geval van een fysieke Blu-rayspeler doen gebruikers er verstandig aan die niet aan het internet te hangen.