Popcorn Time: заброшенный механизм обновления обезврежен из-за риска создания ботнета

Компоненты обновления могут оставаться активными ещё долго после прекращения поддержки программы. The Verge сообщает, что Eye Security обнаружила такой компонент Time4Popcorn, варианта Popcorn Time, на устройствах с Windows, macOS и Android. Он обращался к заброшенным доменам по незашифрованному HTTP и использовал старую уязвимую версию Chrome.

По словам Нильса Тёйсинка из Eye Security, этот механизм мог позволить устанавливать и запускать программы с полными привилегиями. Таким образом, получение контроля над доменом или перехват обмена данными могли открыть путь к созданию ботнета или слежке. В сообщении описывается возможность эксплуатации уязвимости; оно не подтверждает, что такая атака произошла.

Исследователи зарегистрировали домен и отправили обновление, предназначенное для отключения механизма. По сообщению Eye Security, на Windows компания остановила и отключила службу, не удаляя файлы. На macOS скрипт блокирует её запуск. На Android меры не принимались, поскольку установка там требует вмешательства пользователя.

В ходе операции возникло и препятствие: после загрузки обновления на VirusTotal его стали блокировать защитные программы, из-за чего исследователям пришлось его скорректировать. Eye Security утверждает, что до марта обеспечила более 2 миллионов скачиваний обновления, после чего передала домены Shadowserver Foundation. Точное число устройств, находившихся под угрозой, остаётся неопределённым.

Этот случай подчёркивает проблему сопровождения программ: прекращения разработки недостаточно, чтобы устранить компоненты, способные получать удалённые инструкции.