Het Nederlandse cybersecuritybedrijf Eye Security heeft op ruim twee miljoen computers software uitgevoerd om de kwetsbare updatefunctie van Popcorn Time (Time4Popcorn) uit te schakelen. Time4Popcorn is een fork van Popcorn Time, een populaire streaming- en downloadapplicatie. De fork wordt ook onder de naam 'Popcorn Time' aangeboden. In juni van dit jaar waarschuwde Eye Security voor een kwetsbaarheid in de updatefunctie, die het mogelijk maakt voor aanvallers om malafide updates bij gebruikers te installeren en zo het systeem met malware te infecteren.

De software wordt niet meer ondersteund en er is dan ook geen beveiligingsupdate beschikbaar. Het probleem wordt veroorzaakt doordat de updater via een onbeveiligd kanaal verbinding maakt met de updateserver. Een aanvaller die het verkeer tussen de applicatie en server weet te manipuleren kan zo zijn eigen malafide update bij gebruikers installeren, aldus de waarschuwing van juni.

Eye Security meldt vandaag dat de updater van Popcorn Time met verschillende domeinen verbinding maakte. Een aanvaller die over deze domeinen beschikte kon zo malware aan de updater aanbieden, die de malware vervolgens op het systeem van gebruikers zou uitvoeren. Het cybersecuritybedrijf wist één niet geregistreerd domein dat de updater gebruikte te registreren, maar verschillende andere domeinnamen waarmee de updatefunctie verbinding maakte waren al door andere partijen geregistreerd. Uiteindelijk wist Eye Security een aantal van deze domeinnamen te kopen.

Op basis van verzamelde telemetrie vermoeden de onderzoekers dat Popcorn Time op zo'n 2,5 tot 3 miljoen Windowscomputers draait en op zo'n 250.000 tot 350.000 Macs. Eye Security stelde zich de vraag of er ongevraagd een update op deze systemen mocht worden uitgerold om de kwetsbare updatefunctie uit te schakelen. Het cybersecuritybedrijf wijst onder andere naar Operatie Ladybird van de Nederlandse politie, waarbij op besmette computers software werd uitgevoerd om aanwezige botnet-malware te verwijderen.

"Deze clients zijn nooit bewust onderdeel van een botnet geworden, terwijl deze gebruikers de software vermoedelijk vrijwillig installeerden", aldus Eye Security. "Hoewel deze gebruikers ervoor kozen om Popcorn Time te installeren, heeft geen ervoor gekozen om in de achtergrond een vergeten updater te draaien, die elke code uitvoert voor iedereen die één van de domeinen bezit. Met miljoenen kwetsbare systemen en software die niet meer wordt beheerd, was er geen leverancier om het te verhelpen en geen patch onderweg: als wij niets deden, zou niemand iets doen."

Voordat de update onder de betreffende systemen werd uitgerold, werd die eerst getest. Daarnaast was de doorgevoerde aanpassing eenvoudig terug te draaien. Op Windows schakelt de update de updateservice van Popcorn Time uit, op macOS het updateproces. Kort nadat Eye Security de update uitrolde werd die door antivirusbedrijven als malware beschouwd. Daarop besloot het cybersecuritybedrijf de code iets aan te passen, om zo de signatures van de antivirusbedrijven te omzeilen. Uiteindelijk werd de update om het updateproces uit te schakelen tussen november vorig jaar en maart van dit jaar meer dan 2 miljoen keer aangeboden.

Na het uitschakelen van de updater werkt de Popcorn Time-applicatie op deze systemen nog, maar gebruikers krijgen het advies die te verwijderen. De software is namelijk gebaseerd op de Chrome-engine uit 2014 en heeft de sandbox-beveiliging uitgeschakeld. Daarnaast laadt Popcorn Time binnen de applicatie JavaScript afkomstig van inmiddels verlaten domeinnamen, wat te gebruiken zou zijn voor het aanvallen van gebruikers. Eye Security registreerde deze domeinen en heeft die, net als de geregistreerde domeinnamen waar de updater verbinding mee maakte, overhandigd aan The Shadowserver Foundation.