Popcorn Time: neutralizan una herramienta de actualización abandonada ante el riesgo de una botnet

Los componentes de actualización pueden seguir activos mucho después de que se abandone un software. The Verge informa de que Eye Security descubrió el de Time4Popcorn, una variante de Popcorn Time, en dispositivos Windows, macOS y Android. Contactaba con dominios abandonados mediante HTTP sin cifrar y utilizaba una versión antigua y vulnerable de Chrome.

Según Niels Teusink, de Eye Security, este mecanismo habría permitido instalar y ejecutar software con todos los privilegios. Hacerse con el control de un dominio o interceptar las comunicaciones podía así abrir la puerta a una botnet o a actividades de vigilancia. El relato describe una posibilidad de explotación; no establece que se haya producido un ataque de este tipo.

Los investigadores registraron un dominio y enviaron una actualización destinada a desactivar el mecanismo. En Windows, Eye Security indica que detuvo y desactivó el servicio sin eliminar archivos. En macOS, un script bloquea su inicio. No se actuó en Android, ya que la instalación requiere allí una intervención del usuario.

La operación también encontró un obstáculo: después de subirla a VirusTotal, varios programas de seguridad bloquearon la actualización, lo que llevó a los investigadores a ajustarla. Eye Security afirma haber enviado más de 2 millones de descargas de la actualización hasta marzo y haber transferido después los dominios a la Shadowserver Foundation. El número exacto de dispositivos amenazados sigue siendo incierto.

Este caso pone de relieve un problema de mantenimiento: detener el desarrollo no basta para eliminar los componentes capaces de recibir instrucciones a distancia.