Sicherheitsforscher von Eye Security haben einen potenziellen Sicherheitsrisiko auf Millionen von Geräten weltweit entschärft. Sie fanden heraus, dass der Updater einer veralteten Version der Streaming-Anwendung Popcorn Time, bekannt als „Time4Popcorn“, weiterhin auf zahlreichen Windows-, macOS- und Android-Systemen aktiv war. Diese Software, deren Entwicklung vor Jahren eingestellt wurde, stellte eine erhebliche Gefahr dar, da sie für die Bildung eines Botnets oder andere schädliche Zwecke missbraucht werden konnte.
Veraltete Software als Sicherheitsrisiko
Die „Time4Popcorn“-Anwendung, eine Abspaltung des ursprünglichen Popcorn Time, wurde einst als „Netflix der Piraterie“ bezeichnet. Obwohl ihre Entwicklung seit Jahren ruht, kommunizierte der Updater auf den installierten Geräten weiterhin über unverschlüsseltes HTTP mit inzwischen aufgegebenen Web-Domains. Zudem nutzte er eine veraltete und unsichere Version von Chrome, was die Schwachstelle zusätzlich verschärfte.
Niels Teusink von Eye Security erklärte, dass der Updater bei Übernahme einer der Domains oder durch einen Man-in-the-Middle-Angriff (Abhören und Manipulieren der Kommunikation) dazu hätte genutzt werden können, um beliebige Software mit vollen Berechtigungen zu installieren und auszuführen. Dies hätte die einfache Erstellung eines Botnets – eines Netzwerks kompromittierter Rechner – ermöglicht, aber auch Überwachungsmaßnahmen durch Identifizierung der betroffenen Geräte.
Intervention zur Risikominimierung
Um die Gefahr zu beseitigen, registrierten die Forscher von Eye Security eine der betroffenen Domains. Über diese Domain sandten sie ein eigenes Update aus, das den Updater auf den Geräten anwies, sich selbst zu deaktivieren. Obwohl diese Vorgehensweise ethische Bedenken aufwarf, argumentierten die Forscher, dass die einzige Alternative „nichts zu tun“ gewesen wäre, da der Update-Prozess ohnehin keine funktionale Aufgabe mehr erfüllte, sondern lediglich ein Risiko für die Nutzer darstellte.
Die Implementierung des Sicherheitsupdates erfolgte gerätespezifisch: Auf Windows-Geräten wurde der Dienst über den Service Control Manager gestoppt und deaktiviert, ohne Dateien zu löschen. Auf macOS wurde ein Shell-Skript verwendet, um den Start des Update-Prozesses zu blockieren. Android-Geräte wurden von dieser spezifischen Lösung nicht erfasst, da dort für Updates eine Benutzerinteraktion erforderlich gewesen wäre.
Ein anfänglicher Versuch, das Update zu verbreiten, führte dazu, dass es von Sicherheitsprogrammen auf VirusTotal als Malware eingestuft und blockiert wurde. Die Forscher mussten ihr Update anpassen, um dies zu umgehen. Bis März wurden über 2 Millionen Update-Downloads versandt. Anschließend stellte Eye Security die Verteilung ein und übertrug die verwendeten Domains an die Shadowserver Foundation, eine gemeinnützige Organisation für Websicherheit.
Thema: Windows. Quelle/Inspiration: The Verge.