Verlaten Time4Popcorn-updatechecker stelt honderdduizenden Macs bloot

Beveiligingsonderzoekers schakelen resterende dreiging van onofficiële Popcorn Time-variant uit, jaren nadat ontwikkelaars verdwenen

Een onofficiële fork van de ooit populaire filmstreamingsapplicatie Popcorn Time vormt nog steeds risico's op Mac-computers lang nadat gebruikers ermee gestopt zijn. De variant bekend als Time4Popcorn installeerde een persistente updatechecker die bij het opstarten activeert en jarenlang actief bleef, zelfs als de hoofdapp ongebruikt was.

Hoe de updatechecker een backdoorrisico creëerde

Eye Research ontdekte dat de checker specifieke webadressen voor updates raadpleegde en elk ontvangen bestand zonder verificatie accepteerde. Het verleende dat bestand vervolgens volledige toegang om het systeem te wijzigen. Omdat de oorspronkelijke ontwikkelaars het project hadden verlaten, liepen verschillende van die adressen uiteindelijk af en werden ze door iedereen registreerbaar.

De onderzoekers namen een dergelijk verlaten domein over. Ze stelden vast dat tussen de 250.000 en 350.000 Macs het kwetsbare onderdeel geïnstalleerd hadden. Er zijn geen aanwijzingen dat aanvallers de verlopen domeinen al hadden misbruikt.

Onderzoekers zetten een zelfuitschakelmechanisme in

Omdat er geen ontwikkelaar beschikbaar was om een patch uit te brengen, gebruikte Eye Research de updatechecker zelf om een commando te pushen dat het onderdeel uitschakelde. De actie bereikte meer dan een miljoen Macs en Windows-pc's. Het team droeg vervolgens de eigendom van de domeinen over aan de Shadowserver Foundation, een non-profitorganisatie gericht op cybersecurity.

Resterende risico's en duidelijk advies voor gebruikers

De interventie heeft niet elk mogelijk probleem weggenomen. Er bestaan nog aanvullende kwetsbaarheden in de Time4Popcorn-code en sommige domeinen blijven buiten de controle van de onderzoekers. Iedereen die de app heeft geïnstalleerd, wordt geadviseerd deze volledig te verwijderen in plaats van te vertrouwen op gedeeltelijke oplossingen.

Time4Popcorn werd verspreid onder de naam Popcorn Time, waardoor gebruikers mogelijk niet beseffen dat ze de getroffen versie hebben. Volledige technische details staan in het Eye Research-rapport.