Contexte et portée

Le fork Time4Popcorn, dérivé du lecteur de torrents Popcorn Time, continue d’être présent sur des millions d’appareils Windows, macOS et Android malgré l’abandon du projet depuis plusieurs années. L’updater intégré contacte encore des domaines désormais inactifs via HTTP non chiffré et repose sur une version obsolète et vulnérable du moteur Chrome. Selon Eye Security, plus de 2 millions de téléchargements d’updates ont été diffusés avant que les chercheurs n’interrompent la campagne en mars.

Mécanisme de l'updater vulnérable

L’updater fonctionne comme un service système qui s’exécute avec les privilèges de l’utilisateur ou, sur Windows, avec les droits du Service Control Manager. Il récupère des paquets depuis des serveurs HTTP, les charge dans le moteur Chrome intégré et les exécute sans vérification d’intégrité. Cette architecture expose trois vecteurs d’attaque majeurs : (i) l’absence de chiffrement permet une interception man‑in‑the‑middle et la substitution de paquets malveillants ; (ii) le moteur Chrome désuet ne bénéficie plus des correctifs de sécurité, ouvrant la porte à des exploits connus ; (iii) le processus possède les droits suffisants pour installer ou lancer n’importe quel logiciel, ce qui suffit à transformer chaque machine en zombie d’un botnet.

Intervention d’Eye Security

Pour neutraliser la menace, les chercheurs ont d’abord pris le contrôle d’un des domaines utilisés par l’updater. Ils ont ensuite publié un « update » factice qui ordonne au service de se désactiver. Sur Windows, la mise à jour invoque le Service Control Manager pour stopper le service et le marquer comme désactivé, sans supprimer les fichiers associés. Sur macOS, un script shell est exécuté pour bloquer le lancement du processus d’update. L’approche ne nécessite aucune interaction utilisateur, ce qui la rend efficace à grande échelle. L’équipe a toutefois rencontré un problème : après le dépôt du binaire sur VirusTotal, les moteurs antivirus l’ont classé comme malware, ce qui a empêché la diffusion du correctif sur certains postes.

Limites et perspectives

La solution ne couvre pas les appareils Android, où l’installation d’un nouveau paquet requiert toujours l’accord explicite de l’utilisateur. De plus, la désactivation du service laisse le code source installé sur le disque, ce qui pourrait être réactivé si un attaquant récupère à nouveau le contrôle du domaine. La remise des domaines à la Shadowserver Foundation constitue une mesure de mitigation à long terme, mais la persistance du code sur les machines signifie que le risque n’est pas totalement éradiqué. Enfin, l’incident illustre la nécessité de surveiller les logiciels abandonnés qui continuent de communiquer avec des serveurs non maintenus, car ils constituent des points d’entrée privilégiés pour des botnets à grande échelle.