Заброшенные приложения Popcorn Time пришлось отключить, чтобы не допустить создания ботнета
Исследователи безопасности из Eye Security отключили устаревший модуль обновления в заброшенных пиратских стриминговых приложениях, который всё ещё работал на миллионах устройств и позволял злоумышленникам установить любое ПО. К марту было отправлено более 2 млн загрузок обновления.
Исследователи компании по кибербезопасности Eye Security отключили модуль обновления заброшенного много лет назад приложения на основе Popcorn Time, поскольку он угрожал безопасности устройств пользователей. Popcorn Time была популярной в 2010-х программой, которая упрощала просмотр фильмов и сериалов из торрентов, её называли «Netflix для пиратов». Разработка давно прекращена, но приложение по-прежнему установлено на миллионах устройств по всему миру.
Что обнаружили
Исследователи выяснили, что модуль обновления ответвления Popcorn Time под названием «Time4Popcorn» продолжает работать на многих устройствах с Windows, macOS и Android. Он обращается к веб-доменам, которые больше никто не поддерживает, по незашифрованному протоколу HTTP и использует устаревшую небезопасную версию Chrome.
Сотрудник Eye Security Нильс Тёзинк (Niels Teusink) говорит, что с помощью этого модуля можно было установить и запустить практически любое ПО с полными правами. Злоумышленник мог перехватить один из доменов и создать ботнет, нацелиться на конкретные устройства с помощью атаки «человек посередине» или вести слежку, определяя машины, на которых работает программа.
Решение
Исследователи зарегистрировали один из доменов и разослали собственное обновление, которое приказывало модулю отключиться. Они признали, что у такого подхода есть этические проблемы, но заявили, что единственной альтернативой было бездействие. По их оценке, процесс обновления не выполнял никакой полезной функции и лишь создавал риски для пользователей.
В Windows обновление останавливает и отключает службу через Service Control Manager, не удаляя файлы. В macOS скрипт оболочки выполняет команду, которая не даёт процессу обновления запуститься. Android-устройства не затрагивались, так как там для установки обновления всё равно потребовалось бы действие пользователя.
Сложности и масштаб
Обновление пришлось доработать после загрузки в VirusTotal: защитные программы сочли его вредоносным и блокировали, оставляя уязвимый модуль работающим. Точное число подверженных риску устройств неизвестно, но, по словам Eye Security, к марту было отправлено более 2 млн загрузок обновления. После этого рассылку прекратили, а использованные домены передали некоммерческой организации в сфере веб-безопасности Shadowserver Foundation.
