ישנו פתגם ידוע:
"בתאוריה, תאוריה ופרקטיקה זה אותו דבר.
בפרקטיקה, תאוריה ופרקטיקה זה לא אותו דבר"...
אז נכון, בתאוריה תוכנות שמציגות סרטים אמורות לטפל בקבצי MP4 כמו שצריך, ותוכנות שמציגות PDF אמורות לעשות רק את זה.
רק מה, בתוכנות יש גם באגים.
וכשתוקף מסתמך על זה שתפתח את הקובץ עם התוכנה הנפוצה (בין אם זה קורא ה PDF של edge או משהו מקביל לסרטי MP4), והוא מוצא באג באותה תוכנה, הוא יכול לתכנן קובץ PDF או MP4 "נגוע" שגורם להרצת קוד באותה התוכנה שפותחת את הקובץ.
יש הרבה שיטות לזה, וזה מחייב עבודת נמלים,למשל buffer overflow:
בהרבה תוכנות ישנם מערכים גדולים בגודל קבוע שמוקצים מראש למחרוזות שנקראות מהקובץ, אבל כשהתוכנה קוראת את המחרוזת היא לא באמת בודקת שהיא נכנסת לאותו מערך. אם בקובץ שותלים מחרוזת ארוכה יותר, היא תדרוס בזכרון נתונים חשובים, ובתכנון נכון פשוט תגרום "לחטיפת" התוכנה ולהרצת קוד שהתוקף מעוניין בו.
מצד שני, exploits כאלה קשה לפתח, והם נמכרים במאות אלפי דולרים בשוק השחור, וברגע שמוצאים אותם החברה מוציאה עדכון וה exploit נחסם, ולכן משתמשים בהם למטרות "שוות".
אתה מוזמן לקרוא על ה exploit המדהים מבחינה טכנית שאנשי NSO פיתחו כדי לשתול רוגלות ב iPhone ע"י שליחת הודעה למשתמש הקרבן, בלי שהוא בכלל פתח אותה!
https://googleprojectzero.blogspot.com/2021/12/a-deep-dive-into-nso-zero-click.html
לעניינינו, המשתמש כתב בפרוש שהוא כלל לא פתח את הקובץ, אז הנושא לא רלוונטי, אבל גם אם כן, כנראה שבאופן מעשי, אם הסיומת באמת מה שהיא מתיימרת להיות, הסיכוי שמישהו יבזבז exploit כזה עם קובץ אקראי ב bittorrent קטן מאד לדעתי.