App abandonado do Time Popcorn transformou milhões de dispositivos em potenciais alvos de botnet

O Time4Popcorn, um fork do famoso cliente de streaming de torrents Popcorn Time, estava transformando silenciosamente milhões de dispositivos a uma botnet global. Pesquisadores da empresa de segurança Eye Security identificaram que o updater da aplicação continuava ativo em computadores com Windows, macOS e dispositivos Android ao redor do mundo, mesmo com o software abandonado há anos, comunicando-se com domínios desativados via HTTP não criptografado e rodando uma versão desatualizada e vulnerável do Chrome. A situação era uma bomba-relógio: qualquer agente mal-intencionado que registrasse um desses domínios teria acesso irrestrito a esses dispositivos.

Um updater fantasma com privilégios de administrador

O problema central não era o Popcorn Time em si, mas a arquitetura do seu mecanismo de atualização. Segundo Niels Teusink, pesquisador da Eye Security, o processo de update tinha capacidade para instalar e executar praticamente qualquer tipo de software com privilégios completos no sistema.

Três vetores de ataque eram tecnicamente viáveis: o registro simples de um dos domínios abandonados para um rollout malicioso em larga escala; um ataque direcionado contra dispositivos específicos; ou simplesmente o uso do sistema para fins de vigilância, identificando quais máquinas ainda rodavam o software. Com a comunicação acontecendo sobre HTTP puro, interceptar ou substituir o tráfego era trivial para qualquer atacante com acesso à rede.

A solução: atacar para proteger

A resposta da Eye Security foi, no mínimo, pouco convencional. Os pesquisadores registraram um dos domínios abandonados e usaram a própria infraestrutura vulnerável para enviar uma atualização que instrui o updater a se desativar. A medida levanta questões éticas óbvias sobre modificar remotamente software em dispositivos de terceiros sem consentimento explícito, mas a equipe foi direta ao justificar a decisão: a alternativa era “não fazer nada“, dado que “o processo de atualização não realizava nenhuma função útil, apenas criava risco para os usuários.”

A implementação variou por plataforma. No Windows, a atualização interrompe e desativa o serviço via Service Control Manager, sem deletar arquivos. No macOS, um shell script bloqueia a inicialização do processo. Os dispositivos Android ficaram de fora da correção automática: como a plataforma exige interação do usuário para instalar atualizações, a Eye Security optou por não incluí-los no escopo da operação.

VirusTotal quase sabota a operação

O processo não foi linear. Depois que a atualização corretiva foi enviada ao VirusTotal, os programas de segurança passaram a sinalizá-la como malware, bloqueando justamente o patch que estava protegendo os usuários, enquanto deixavam o updater vulnerável original intacto e em funcionamento. A Eye Security precisou ajustar o pacote de atualização para contornar os falsos positivos, um episódio que ilustra bem a ironia de um sistema de defesa atrapalhando uma operação de mitigação legítima.

Ao todo, a equipe registrou o envio de mais de 2 milhões de downloads da atualização corretiva até março, quando a distribuição foi encerrada. Os domínios utilizados durante a operação foram transferidos para a Shadowserver Foundation, organização sem fins lucrativos dedicada à segurança na web.

O episódio do Time4Popcorn é um lembrete sobre o que acontece quando software abandonado permanece instalado por anos. O updater não fazia absolutamente nada útil há anos, mas mantinha canais de comunicação abertos, rodava com privilégios elevados e dependia de uma infraestrutura de domínios que poderia ser comprada por qualquer pessoa com alguns dólares. Para o entusiasta que ainda tem o Popcorn Time ou qualquer fork instalado em alguma máquina antiga, o aviso é para se livrar o quanto antes.

Fonte: The Verge