Zapomenutý Popcorn Time ohrozil statisíce Maců. Nejlíp ho hned smazat
Neoficiální verze Popcorn Time nechala na Macích běžet aktualizační službu, která slepě věřila všemu, co stáhla. Domény, na které se hlásila, mezitím propadly a kdokoli je mohl převzít. Bezpečnostní firma Eye Research odhaduje čtvrt až třetinu milionu zasažených počítačů.
Některé problémy mají tu nepříjemnou vlastnost, že na sebe roky nijak neupozorňují. Přesně takový je případ, který tento týden popsala bezpečnostní firma Eye Research a po ní i server MacRumors a AppleInsider. Jde o zapomenutou součást aplikace, kterou si spousta lidí nainstalovala kolem roku 2015 a od té doby ji nespustila. Jenže ona běžela dál – pokaždé, když Mac naskočil.
Řeč je o Popcorn Time, tedy přehrávači, který kdysi nabízel filmy a seriály z torrentů v rozhraní nápadně připomínajícím Netflix. Projekt se rychle rozpadl na řadu nezávislých odnoží a právě jedna z nich, známá jako Time4Popcorn, je původcem dnešního problému. Součástí instalace totiž byla služba, která při každém startu počítače kontrolovala, jestli není k dispozici novější verze.
Kontrolor aktualizací má v zásadě dvě vlastnosti, které z něj dělají ideální cíl útoku. Zaprvé běží s širokými oprávněními, protože musí umět do systému zapisovat. Zadruhé věří tomu, co si stáhne – a právě tahle verze si podle výzkumníků stažený soubor nijak neověřovala. Kdo by dokázal podstrčit vlastní obsah, dostal by na cizí Mac v podstatě cokoli.
A tady přichází ta nepříjemná část. Vývojáři Time4Popcorn projekt dávno opustili a internetové adresy, na které se aktualizační služba hlásila, postupně propadaly. Stačilo si jednu z nich zaregistrovat a majitel by rázem ovládal start desítek tisíc počítačů po celém světě. Eye Research zdůrazňuje, že nenašla žádné stopy po tom, že by to někdo skutečně udělal – ale příležitost tu ležela roky nevyužitá jako otevřené okno v přízemí.
Výzkumníci proto udělali to jediné rozumné: jednu z opuštěných adres si zaregistrovali sami. Díky tomu zjistili, kolik počítačů se na ni ještě hlásí, a dospěli k odhadu 250 000 až 350 000 zasažených Maců. Samotný kontrolor aktualizací pak použili proti němu samému – poslali mu instrukci, která ho na víc než milionu počítačů s macOS i Windows vypnula.
Zbylé domény Eye Research předala nadaci Shadowserver Foundation, tedy neziskové organizaci, která se dlouhodobě věnuje zabavování a monitorování infrastruktury používané ke škodlivé činnosti. Je to zavedený postup: adresy se tím dostanou pod dohled lidí, kteří je nezneužijí, a zároveň se dá sledovat, kolik zařízení se na ně ještě hlásí. Úplně vyřešené to ovšem není.
Výzkumníci totiž otevřeně přiznávají dvě omezení. Jejich zásah odstranil jen samotný problematický kontrolor aktualizací, nikoli další zranitelnosti, které Time4Popcorn obsahuje. A některé z adres, na které se aplikace hlásí, zůstávají mimo jejich kontrolu. Jinými slovy, pokud máte tuhle aplikaci na disku, nespoléhejte na to, že to za vás už někdo vyřešil.
Doporučení je tedy jednoznačné: Popcorn Time ze svého Macu odinstalujte. Problém je v tom, že pod stejným jménem kolovalo hned několik neoficiálních verzí od různých skupin a běžný uživatel po deseti letech netuší, kterou si tehdy stáhl. Pokud si nejste jistí, berte to jako důvod navíc – aplikace, kterou roky nepoužíváte a jejíž vývoj skončil, nemá na disku co dělat tak jako tak.
Vedle smazání samotné aplikace se vyplatí projít i položky, které se spouštějí při startu systému. Najdete je v Nastavení systému v sekci Obecné, pod volbou Položky při přihlášení a rozšíření. Právě tady se podobné služby usídlují a právě tady je po letech objevíte jako záhadný řádek s názvem, který vám nic neříká. Co nepoznáte a nepotřebujete, můžete vypnout.
Celý případ je dobrou připomínkou toho, že na Macu nejsou nejčastějším rizikem sofistikované útoky na systém, ale software, který jsme si tam kdysi pustili dobrovolně. Psali jsme o tom letos několikrát – ať už šlo o falešný instalátor Zoomu, nebo o techniku ClickFix, kde si oběť škodlivý kód spustí vlastníma rukama. Gatekeeper ani XProtect vás neochrání před něčím, co jste jednou sami pustili dovnitř.
A pak je tu ještě jeden rozměr, který stojí za zamyšlení. Popcorn Time byl od začátku aplikace mimo zákon, stahovaná mimo oficiální kanály, bez jakékoli záruky. Argument „však je to jen přehrávač“ v roce 2015 zněl neškodně. O jedenáct let později se ukazuje, že ten přehrávač měl na stovkách tisíc počítačů trvalý přístup k systému a jeho osud záležel na tom, jestli si někdo náhodou nekoupí volnou doménu. Levná zábava někdy vyjde pořádně draho.
Zdroje: MacRumors, AppleInsider
