Klasickým terčem tohoto útoku na osobní data je běžný nepříliš zkušený uživatel, který se neobratně pohybuje v šedých zónách internetu. Zaujme ho jisté video (film), a tak se rozhodne ho získat. Po stažení si jej (jako správný běžný uživatel) spustí ve Windows Media Playeru. Ten zahlásí chybu ohledně neshod týkajících se formátu souboru.

Na tom zatím není tolik podezřelého. Windows Media Player má docela ve zvyku nepodporovat běžné formáty souborů.

Následuje ovšem něco podivnějšího. Po několika prvních sekundách videa se ukáže titulek oznamující nedostupnost kodeků.

Zde bystřejší uživatel zpozorní, protože je velmi nezvyklé, aby na nedostupnost kodeku upozornilo video, nikoliv samotný přehrávač.

Vzápětí se objeví další titulek.

Ten ohlašuje přesměrování na stránky Microsoftu, kde uživatel nalezne potřebný kodek. Nutno říci, že se tak stane mnohdy ještě dříve, než se objeví samotné hlášení. Přehrávání se poté okamžitě zastaví.

Následuje otevření prohlížeče a nasměrování na poněkud podezřelé stránky.

Zde už se musí mít uživatel na pozoru a nereagovat na výzvu ke stažení kodeků. Samozřejmě totiž nejde o skutečné stránky Microsoftu, pouze o opravdu nepovedenou a nedotaženou napodobeninu. Postrádá naprostou většinu obsahu, odkazy nefungují a nápis s upozorněním vypadá skutečně úsměvně. Navíc v políčku s adresou samozřejmě nesvítí "microsoft.com" a něco k tomu, ale jakási IP adresa. V tomto případě http://91.121.93.184/error/. Ovšem ví takový běžný (Franta) uživatel, jak stránky Microsoftu vypadají?

Po stažení souboru s údajnými kodeky a jeho spuštění dojde k infikování uživatelova počítače. Prozkoumání toho, o jaký škodlivý software se jedná, raději nechám na jiných.

Na závěr chci říci, že celý tento podvod úspěšně funguje skutečně pouze v případě Windows Media Playeru 12 (v nižších verzích jsem přehrávání netestoval - o případné zkušenosti se můžete podělit v diskusi). V ostatních přehrávačích (například Winamp, Media Player Classic, Homecinema...) k přesměrování nedošlo a přehrál se tak celý "film" o délce devatenácti sekund. O tom, zda se jedná o žádanou funkci WMP nebo zda jde o chybu vyžadující bezpečnostní záplatu, spekulovat nehodlám.

Celá věc se trochu podobá způsobu šíření červa Koobface, o kterém se můžete dočíst zde [ http://computerworld.cz/internet-a-komunikace/cerv-maskujici-se-za-youtube-video-znovu-utoci-300 ].