Investigadores desativam atualizador esquecido do Popcorn Time para evitar botnet global

Investigadores da Eye Security desativaram um atualizador do Popcorn Time que deixava milhões de dispositivos vulneráveis à criação de redes botnet.

O perigo invisível do "Netflix da pirataria"

O desenvolvimento do Popcorn Time — a aplicação popularizada na última década para streaming de torrents — foi abandonado há vários anos. No entanto, o software continua instalado em milhões de computadores e telemóveis em todo o mundo. Especialistas da Eye Security descobriram recentemente que o atualizador de uma variante específica chamada "Time4Popcorn" continuava ativo, comunicando com domínios web abandonados através de HTTP sem encriptação e executando uma versão desatualizada e insegura do Google Chrome.

Como funcionava a intervenção para desativar o atualizador

Segundo os investigadores liderados por Niels Teusink, este atualizador esquecido podia ser aproveitado por atacantes para instalar qualquer tipo de software com plenos privilégios, facilitando a criação de redes botnet através do controlo de domínios inativos, ataques de intermediário (man-in-the-middle) ou ações de vigilância. Para neutralizar a ameaça sem recorrer a novas infraestruturas maliciosas, a equipa registou um dos domínios abandonados e enviou a sua própria atualização para instruir o atualizador a desativar-se automaticamente.

A intervenção técnica variou consoante o sistema operativo:

• Windows: a atualização envia um comando que para e desativa o serviço através do Service Control Manager, sem eliminar ficheiros do utilizador.
• macOS: o processo utiliza um script em linha de comandos (shell script) para impedir o arranque do atualizador.

A solução aplicada no Android não foi detalhada pela equipa, uma vez que a instalação de atualizações nesse sistema continuaria a exigir interação manual por parte de quem utiliza a aplicação. Após enviarem mais de dois milhões de downloads de atualização até ao mês de março, os investigadores transferiram os domínios para a Shadowserver Foundation, uma organização sem fins lucrativos dedicada à segurança na web, encerrando a sua intervenção direta.

Impacto e segurança

Esta situação demonstra o risco de manter software abandonado (abandonware) que ainda possui mecanismos de atualização ativos. Para utilizadores que ainda tenham o Popcorn Time ou variantes como o Time4Popcorn instalados, a recomendação de segurança é a remoção imediata da aplicação, dado que o software em causa utiliza componentes desatualizados e inseguros que não recebem correções de segurança há anos.

Fontes

• https://www.theverge.com/tech/1017914/popcorn-time-piracy-botnet-avoided