Recordar Hora de las palomitas de maíz¿la aplicación que sirvió como interfaz fácil de usar para transmitir torrents de películas y programas de televisión? El desarrollo de la aplicación menos favorita de la MPAA en la década de 2010 ha sido abandonado por añospero el software “Netflix de la piratería” todavía está instalado en millones de dispositivos que están esperando unirse a un ejército de bots. Investigadores de Seguridad ocular encontró que el actualizador de una bifurcación de Popcorn Time llamada “Time4Popcorn” todavía se ejecuta en toneladas de dispositivos Windows, macOS y Android ubicados en todo el mundo, llamando a dominios web ahora abandonados a través de HTTP no cifrado y ejecutando una versión obsoleta e insegura de Chrome.
Niels Teusink de Eye Security dice que el actualizador podría haberse utilizado para instalar y ejecutar básicamente cualquier tipo de software con privilegios completos, permitiendo fácilmente que alguien cree una botnet simplemente tomando uno de los dominios, usando un ataque de intermediario para apuntar a dispositivos específicos o realizando vigilancia identificando las máquinas que ejecutan el software.
Su solución fue registrar uno de los dominios y usarlo para enviar su propia actualización que le indicaba al actualizador que se deshabilitara. A pesar de las preocupaciones éticas sobre la solución, los investigadores dicen que su única alternativa «era no hacer nada», señalando que «el proceso de actualización no hacía nada funcional de todos modos, solo creaba riesgos para los usuarios».
Eye Security dijo que en los dispositivos Windows, su actualización «simplemente detiene y desactiva el servicio a través del Administrador de control de servicios» sin eliminar ningún archivo ni nada más. En macOS, utiliza un script de shell para ejecutar un comando que bloquea el inicio del proceso de actualización. No abordaron el software en dispositivos Android, donde la instalación de la actualización aún requeriría primero la interacción real del usuario.
Tuvieron que modificar su actualización después de que se cargó en VirusTotal, lo que provocó que los programas de seguridad la marcaran como malware y la bloquearan mientras dejaban ejecutándose el actualizador vulnerable. No está claro exactamente cuántos dispositivos estaban en riesgo, pero Eye Security dice que «envió más de 2 millones de descargas de actualizaciones» en marzo, cuando dejaron de enviar la actualización y transfirieron los dominios que usaban al Fundación servidor de sombrasuna organización de seguridad web sin fines de lucro.