Компьютеры Mac и ПК с Windows, на которых была установлена старая версия Popcorn Time, могут находиться под угрозой, даже если их владельцы больше не пользуются приложением. Исследователи обнаружили, что его средство обновления могло позволить злоумышленникам запускать вредоносный код на затронутых компьютерах. Хотя с тех пор были предприняты шаги для отключения уязвимого компонента, это не делает само приложение безопасным. Этот инцидент служит напоминанием о том, что программное обеспечение может оставаться угрозой безопасности еще долго после того, как разработчики отказались от него.
Фирма по кибербезопасности Eye Research обнаружила уязвимость при исследовании неофициальной версии Popcorn Time под названием Time4Popcorn. Результаты, являющиеся частью расследования Operation IXIM, были представлены на конференции hack.lu в Люксембурге 22 октября. Уязвимость, идентифицированная как CVE-2026-30612, могла позволить злоумышленникам запускать вредоносный код на затронутых компьютерах.
Проблема заключается в том, что средство обновления приложения продолжало работать в фоновом режиме даже на компьютерах, где пользователи перестали использовать Popcorn Time. Получив контроль над доменом обновления или вмешавшись в сетевое соединение, злоумышленник мог потенциально отправлять вредоносные файлы на эти устройства. Это могло подвергнуть пользователей риску кражи паролей и программ-вымогателей, хотя Eye Research не обнаружила доказательств того, что злоумышленники использовали эту уязвимость.
Средство обновления не имело возможности проверить подлинность загруженного файла перед его запуском. Оно также полагалось на незашифрованные HTTP-соединения, что означало, что злоумышленники могли потенциально перехватывать или изменять данные, передаваемые между программным обеспечением и его сервером обновлений.
Риск был особенно серьезным, поскольку средство обновления имело обширный доступ к компьютеру. В Windows оно могло запускать загруженные файлы с привилегиями уровня SYSTEM. Его аналог для macOS, PT.updd, имел root-доступ и мог автоматически запускаться при старте компьютера, потенциально оставляя систему уязвимой, даже когда приложение не использовалось.
По оценкам фирмы по кибербезопасности, от 250 000 до 350 000 компьютеров Mac и от 2,5 до 3 миллионов хостов Windows связывались с серверами обновлений. Однако эти цифры не обязательно представляют собой отдельные компьютеры, поскольку ошибки в способе идентификации устройств программным обеспечением означали, что некоторые могли быть учтены более одного раза.
Поскольку первоначальные разработчики больше не поддерживали приложение, фирма по кибербезопасности решила отключить само средство обновления. Их исправление остановило службу обновлений в Windows и отключило демон запуска на macOS. Исследователи протестировали исправление перед его развертыванием, первоначально ограничив загрузки устройствами, которые они уже идентифицировали.
Исправление столкнулось с неожиданной проблемой, когда антивирусное программное обеспечение начало помечать его как вредоносное. Одиннадцать поставщиков услуг безопасности первоначально обнаружили инструмент, по-видимому, потому, что остановка системной службы также является поведением, связанным с вредоносным ПО. Затем Eye Research модифицировала исполняемый файл, чтобы избежать этих сигнатур обнаружения и продолжить развертывание.
К моменту завершения операции в марте 2026 года фирма распространила более двух миллионов загрузок исправлений. Позже она передала 15 доменов обновлений, которыми управляла, фонду Shadowserver Foundation. Однако количество загрузок не говорит нам, сколько отдельных компьютеров было успешно отремонтировано.
Отключение средства обновления не устраняет уязвимости в самом Time4Popcorn, которое использует движок Chrome от 2014 года, работает без песочницы безопасности браузера и загружает контент через незашифрованные соединения. Фирма также продемонстрировала, что приложение может быть использовано для запуска программы в Windows через JavaScript.
Исследователи советуют пользователям удалить затронутую версию, а не полагать, что отключение средства обновления делает ее безопасной. Пользователи Mac могут проверить наличие PT.updd в /Library/PrivilegedHelperTools/ и связанного с ним демона запуска в /Library/LaunchDaemons/PT.updd.plist. Удаление возможности запуска средства обновления не устраняет риски, связанные с самим приложением.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – gadgets360
