¿Recuerda Popcorn Time, la aplicación que sirvió como interfaz sencilla para transmitir películas y programas de televisión? La creación de la aplicación menos favorita de la MPAA en la década de 2010 ha sido abandonada durante años, pero el software “Netflix de la piratería” todavía está instalado en millones de dispositivos, esperando unirse a un ejército de bots. Investigadores de Protección ocular Encontré un actualizador para la bifurcación de Popcorn Time llamado “Time4Popcorn” que aún se ejecuta en toneladas de dispositivos Windows, macOS y Android en todo el mundo, ahora llama a dominios web abandonados a través de HTTP sin cifrar y ejecuta una versión obsoleta e insegura de Chrome.
Según Niels Dusink de iSecurity, el actualizador podría haberse utilizado para instalar cualquier tipo de software y ejecutarlo con privilegios completos, permitiendo a alguien crear fácilmente una botnet tomando el control de uno de los dominios, apuntando a dispositivos específicos, usando un ataque de intermediario o detectando y monitoreando las máquinas que ejecutan el software.
Su solución fue registrar uno de los dominios y usarlo para enviar su propia actualización, indicando al actualizador que se deshabilite. A pesar de las preocupaciones éticas sobre la corrección del error, los investigadores dicen que su única alternativa era “no hacer nada”, y agregaron que “el proceso de actualización no funcionó de todos modos, creando un riesgo para los usuarios”.
En los dispositivos Windows, iSecurity dijo que su actualización “detiene y desactiva el servicio a través del Administrador de control de servicios” sin eliminar ningún archivo ni nada más. En macOS, utiliza un script de shell para ejecutar un comando que impide que se inicie el proceso de actualización. No mencionan el software en dispositivos Android, donde la instalación de una actualización requiere primero la interacción real del usuario.
Tuvieron que modificar su actualización después de cargarla en VirusTotal para que los programas de seguridad la marcaran como malware y bloquearan la actualización vulnerable cuando se ejecutara. No está claro cuántos dispositivos están en riesgo, pero Eye Protection dice que “envió más de 2 millones de descargas de actualizaciones” en marzo, cuando dejaron de enviar la actualización y cambiaron los dominios que usaban. Fundación ShadowServerUna organización de seguridad web sin fines de lucro.