Pamestās Popcorn Time lietotnes nācies atslēgt, lai novērstu robottīkla izveidi
Drošības pētnieki no uzņēmuma Eye Security atslēdza novecojušu pirātisko straumēšanas lietotņu atjauninātāju, kas joprojām darbojās uz miljoniem ierīču un ļāva uzbrucējiem tām uzstādīt jebkādu programmatūru. Atjauninājumu līdz martam lejupielādēja vairāk nekā 2 miljoni reižu.
Kiberdrošības uzņēmuma Eye Security pētnieki ir atslēguši vairākus gadus pamestas lietotnes Popcorn Time atjauninātāju, jo tas apdraudēja lietotāju ierīces. Popcorn Time bija 2010. gados populāra programma, kas atviegloja filmu un seriālu skatīšanos no torrentiem, un to dēvēja par pirātisma „Netflix”. Lietotnes izstrāde jau ilgi ir pārtraukta, taču tā joprojām ir uzstādīta uz miljoniem ierīču visā pasaulē.
Kas tika atklāts
Pētnieki konstatēja, ka lietotnes atvasinājuma „Time4Popcorn” atjauninātājs joprojām darbojas daudzās Windows, macOS un Android ierīcēs. Tas sazinās ar vairs neuzturētiem tīmekļa domēniem, izmantojot nešifrētu HTTP savienojumu, un darbojas ar novecojušu, nedrošu Chrome versiju.
Eye Security pētnieks Nīls Tēzinks (Niels Teusink) norāda, ka atjauninātāju varēja izmantot, lai ar pilnām tiesībām uzstādītu un palaistu jebkādu programmatūru. Uzbrucējs varēja pārņemt kādu no domēniem un izveidot robottīklu, mērķēt uz konkrētām ierīcēm ar „cilvēks pa vidu” uzbrukumu vai veikt novērošanu, identificējot ierīces, kurās programma darbojas.
Risinājums
Pētnieki reģistrēja vienu no domēniem un izsūtīja savu atjauninājumu, kas lika atjauninātājam atslēgties pašam. Viņi atzina, ka risinājums rada ētiskus jautājumus, taču uzsvēra, ka alternatīva bija neko nedarīt. Pēc viņu vērtējuma, atjaunināšanas process nekādu derīgu funkciju neveica un lietotājiem radīja tikai risku.
Windows ierīcēs atjauninājums aptur un atslēdz pakalpojumu ar Service Control Manager palīdzību, neizdzēšot failus. macOS sistēmā tiek izpildīta čaulas skripta komanda, kas neļauj atjaunināšanas procesam startēt. Android ierīces netika aplūkotas, jo tur atjauninājuma uzstādīšanai tik un tā būtu nepieciešama lietotāja darbība.
Grūtības un apjoms
Pēc atjauninājuma augšupielādes pakalpojumā VirusTotal to nācās pielāgot, jo drošības programmas bija to atzīmējušas kā ļaunprātīgu un bloķējušas, atstājot ievainojamo atjauninātāju darbojamies. Precīzs apdraudēto ierīču skaits nav zināms, taču Eye Security līdz martam izsūtīja vairāk nekā 2 miljonus atjauninājuma lejupielāžu. Pēc tam pētnieki pārtrauca izsūtīšanu un nodeva izmantotos domēnus tīmekļa drošības nevalstiskajai organizācijai Shadowserver Foundation.
