Lembra do Popcorn Time, o aplicativo que serviu como um front-end fácil de usar para streaming de torrents de filmes e programas de TV? O desenvolvimento do aplicativo mais odiado da MPAA na década de 2010 foi abandonado há anos, mas o software “Netflix pirata” ainda está instalado em milhões de dispositivos esperando para se juntar ao exército de bots. Os pesquisadores estão em segurança ocular Descobriu-se que um atualizador para o fork do Popcorn Time chamado “Time4Popcorn” ainda está em execução em um grande número de dispositivos Windows, macOS e Android em todo o mundo, fazendo chamadas HTTP não criptografadas para um domínio da web agora abandonado e executando uma versão desatualizada e insegura do Chrome.
Niels Teusink, da Eye Security, disse que o atualizador pode ser usado para instalar e executar basicamente qualquer tipo de software com permissões totais, permitindo que alguém crie facilmente um botnet simplesmente assumindo o controle de um dos domínios, direcione dispositivos específicos usando ataques man-in-the-middle ou realize vigilância identificando os computadores que executam o software.
A solução deles foi registrar um dos domínios e usá-lo para enviar suas próprias atualizações, instruindo o atualizador a se desabilitar. Apesar das preocupações éticas sobre a correção, os pesquisadores disseram que sua única opção era “não fazer nada”, observando: “De qualquer forma, o processo de atualização não faz nada funcional e apenas representa um risco para os usuários”.
Eye Security diz que em dispositivos Windows, sua atualização “simplesmente interrompe e desativa o serviço por meio do Service Control Manager” sem excluir nenhum arquivo ou qualquer outra coisa. No macOS, ele usa um script de shell para executar comandos que impedem o início do processo de atualização. Eles não abordam problemas de software em dispositivos Android, pois a instalação de atualizações em um dispositivo Android ainda requer primeiro a interação real do usuário.
Eles tiveram que ajustar a atualização depois que ela foi carregada no VirusTotal, fazendo com que o programa de segurança a sinalizasse como malware e a bloqueasse, deixando o atualizador vulnerável em execução. Não está claro exatamente quantos dispositivos estavam em risco, mas a Eye Security disse que “enviou mais de 2 milhões de downloads de atualizações” até março, quando parou de enviar atualizações e moveu os domínios que estavam usando para Fundação do Servidor Sombrauma organização sem fins lucrativos de segurança cibernética.
