Araştırmacılar, botnet ele geçirmesini önlemek için terk edilmiş Popcorn Time güncelleyicilerini uzaktan devre dışı bıraktı

Uykuya yatmış bir korsan yazılım uygulaması canlı bir güvenlik riskine dönüştü

Popcorn Time, 2010'larda korsan film ve dizi izlemeye Netflix tarzı bir arayüz sunan torrent tabanlı akış uygulaması, yıllardır aktif geliştirilmiyor. The Verge'in haberine göre ise hâlâ dünyadaki milyonlarca cihazda kurulu durumda ve bu kurulu tabanın büyük bölümü uygulamanın güncelleme yazılımını sessizce çalıştırmaya devam ediyor.

Güvenlik firması Eye Security'deki araştırmacılar, uygulamanın yaygın olarak kullanılan bir fork'u olan Time4Popcorn ile birlikte gelen güncelleyicinin çok sayıda Windows, macOS ve Android cihazda hâlâ aktif olduğunu keşfetti. Güncelleyici, sahipleri tarafından çoktan terk edilmiş web domainlerine bağlanmaya devam ediyor, bunu şifrelenmemiş HTTP üzerinden yapıyor ve eski, güvensiz bir Chrome sürümü içeriyor.

Eye Security'den Niels Teusink, The Verge'e verdiği bilgide güncelleyicinin etkilenen bir makinede fiilen her türlü yazılımı tam yetkiyle kurup çalıştırması için yönlendirilebileceğini söyledi.

Ele geçirme nasıl işleyecekti

Araştırmacılar üç sömürü yolunu ortaya koydu. Süresi dolmuş domainlerden birinin kaydedilmesi, saldırgana güncelleyicinin ne kuracağı konusunda kontrol sağlayacaktı. Şifrelenmemiş HTTP trafiği, bir man-in-the-middle saldırısıyla dinlenerek belirli cihazlar hedeflenebilirdi. Güncelleme trafiğinin kendisi de, yazılımı çalıştıran makineleri tespit ederek gözetimi besleyebilirdi.

Bu kadar çok makine aynı güncelleyiciyi yükseltilmiş izinlerle çalıştırdığından, süresi tek bir domain kaydı, bu uyuyan uygulamayı milyonlarca cihazı kapsayan bir botnetten fiilen ayılayan tek şeydi.

İzinsiz dağıtılan, kendini imha eden bir güncelleme

Eye Security'nin çaresi alışılmadıktı: Araştırmacılar yalnızca bir uyarı yayınlamak yerine, terk edilmiş domainlerden birini kendileri kaydetti ve bunu, güncelleyiciye kendini devre dışı bırakmasını söyleyen bir güncelleme dağıtmak için kullandı.

Bu hamle, araştırmacıların sahibi olmadıkları bilgisayarlara kod göndermek anlamına geldiği için bariz etik sorular doğuruyor. Araştırmacılar alternatifin "hiçbir şey yapmamak" olduğunu ve "güncelleme sürecinin zaten işlevsel bir şey yapmadığını, kullanıcılara yalnızca risk yarattığını" savundu.

Yöntem platforma göre değişiklik gösterdi. Eye Security, Windows'ta güncellemerinin "servisi Service Control Manager üzerinden yalnızca durdurup devre dışı bıraktığını" ve hiçbir şey silmediğini söylüyor. macOS'ta bir shell script, güncelleme sürecinin yeniden başlatılmasını engelliyor. Araştırmacılar bu yamayı Android'e genişletmedi; burada bir güncelleme kurmak hâlâ kullanıcının doğrudan müdahalesini gerektiriyor.

Müdahale, güncelleme VirusTotal'a yüklendiğinde de bir aksaklıkla karşılaştı. Güvenlik ürünleri bunu malware olarak işaretlemeye başladı; bu durum güncellemeyi engellerken savunmasız güncelleyiciyi yerinde bıraktı, dolayısıyla Eye Security tespitlerin etrafından dolaşmak için güncellemeyi değiştirmek zorunda kaldı.

Açıkta kalan cihazların kesin sayısı bilinmiyor. Eye Security'nin yamayı dağıtmayı bıraktığı mart ayına kadar 2 milyondan fazla güncelleme indirmesi teslim edilmişti. Araştırmacılar daha sonra kullandıkları domainleri, bu altyapıyı şu anda kontrol eden kar amacı gütmeyen bir web güvenliği kuruluşu olan Shadowserver Foundation'a devretti.

Neden önemli

Terk edilmiş yazılım kendini kaldırmıyor. Bu olay, güvenlik araştırmacılarının ölü bir uygulamaya doğrudan müdahale ettiği nadir ve iyi belgelenmiş bir vaka ve daha geniş bir sorunu gözler önüne seriyor: kimsenin bakmadığı bir altyapıya bağlanan otomatik güncelleme mekanizmaları. Herkes süresi dolmuş bir domain kaydedebilir ve düz HTTP üzerinden bir domainin sunduğu her şeyi kabul eden bir güncelleyici, her ihmal edilmiş kaydı olası bir toplu ele geçirmeye dönüştürür.

Hikaye aynı zamanda tedavinin tuhafığını da ortaya koyuyor. İnsanların makinelerine izinsiz gönderilen kod, antivirüs motorlarına tıpkı malware gibi görünür — VirusTotal'da yaşanan da tam olarak buydu — yükün bir saldırı değil bir düzeltme olması durumunda bile.

Kullanıcılar için pratik ders net: Bir proje öldüğünde geride kalanlar çalışmaya devam eder; eski akış araçları, güncelleyiciler ve arka plan servisleri denetlenmeye ve kaldırılmaya değer. Bir ürünü kapatan geliştiriciler içinse güncelleme kanalını düzgünce devre dışı bırakmak ya da domainleri Eye Security'nin Shadowserver ile yaptığı gibi güvenilir bir emanetçiye devretmek, sorumlu biçimde kapatmanın bir parçası olarak görülmeli.