Popcorn Time : un outil de mise à jour abandonné neutralisé face au risque de botnet

Des composants de mise à jour peuvent rester actifs longtemps après l’abandon d’un logiciel. The Verge rapporte qu’Eye Security a découvert celui de Time4Popcorn, une variante de Popcorn Time, sur des appareils Windows, macOS et Android. Il contactait des domaines abandonnés en HTTP non chiffré et utilisait une version ancienne et vulnérable de Chrome.

Selon Niels Teusink, d’Eye Security, ce mécanisme aurait permis d’installer et d’exécuter des logiciels avec tous les privilèges. La reprise d’un domaine ou une interception des communications pouvait ainsi ouvrir la voie à un botnet ou à une surveillance. Le récit décrit une possibilité d’exploitation ; il n’établit pas qu’une telle attaque ait eu lieu.

Les chercheurs ont enregistré un domaine et envoyé une mise à jour destinée à désactiver le mécanisme. Sur Windows, Eye Security indique avoir arrêté et désactivé le service sans supprimer de fichiers. Sur macOS, un script bloque son démarrage. Android n’a pas été traité, l’installation y nécessitant une intervention de l’utilisateur.

L’opération a aussi rencontré un obstacle : après son dépôt sur VirusTotal, la mise à jour a été bloquée par des logiciels de sécurité, ce qui a conduit les chercheurs à l’ajuster. Eye Security affirme avoir envoyé plus de 2 millions de téléchargements de mise à jour jusqu’en mars, puis transféré les domaines à la Shadowserver Foundation. Le nombre exact d’appareils menacés demeure incertain.

Ce cas souligne un enjeu de maintenance : l’arrêt du développement ne suffit pas à supprimer les composants capables de recevoir des instructions à distance.