Zapomenutá aplikace ohrožuje miliony počítačů. Bezpečnostní experti zasáhli přímo do cizích zařízení
Bezpečnostní odborníci objevili problém u starého programu Time4Popcorn, který před více než deseti lety sloužil ke streamování videí prostřednictvím sítě BitTorrent.
Zranitelnost je natolik závažná, že se výzkumníci rozhodli k neobvyklému kroku. Sami převzali kontrolu nad opuštěnou aktualizační infrastrukturou a zasáhli jejím prostřednictvím do fungování programu na cizích počítačích.
Jejich cílem bylo uživatele ochránit. Zvolený postup ale současně vyvolává otázku, kde končí bezpečnostní pomoc a začíná nepovolený zásah do cizího zařízení.
Mohlo by vás zajímat
Kdysi populární streamovací aplikace se změnila v bezpečnostní hrozbu
Vzpomínáte si na Popcorn Time? Před více než deseti lety šlo o poměrně známý program, který umožňoval sledovat filmy a seriály prostřednictvím technologie BitTorrent. Pro uživatele byl atraktivní především jednoduchým ovládáním. Namísto ručního vyhledávání a stahování torrentů stačilo vybrat požadovaný titul a spustit přehrávání.
Původní projekt z roku 2014 rychle skončil, ale následně vznikla řada jeho odvozených verzí. Jednou z nich byl také Time4Popcorn. Ten se rozšířil mezi uživatele Windows, macOS i Androidu. Jenže vývoj aplikace byl později ukončen. Přestala dostávat bezpečnostní aktualizace a její infrastruktura postupně osiřela. Na mnoha zařízeních přesto program zůstal nainstalovaný.
A právě to se nyní ukázalo jako zásadní problém. Pro úplnost dodejme, že historický Time4Popcorn není totožný s novější službou dostupnou na adrese popcorntime.app, která funguje od roku 2025.
Zdroj: Tech Daily / Unsplash
Aktualizace přes nezabezpečené připojení: Tři chyby otevřely cestu útočníkům
Na problém upozornila bezpečnostní společnost Eye Security, jejíž odborníci si při kontrole zákaznických počítačů všimli podezřelého procesu. Šlo o aktualizační službu, která se opakovaně pokoušela komunikovat se serverem na již opuštěné internetové doméně.
Podrobnější analýza odhalila hned tři závažné nedostatky:
-
1
Aktualizace se stahovaly přes nezabezpečené HTTP: Program při komunikaci se serverem nepoužíval šifrované spojení HTTPS. To znamená, že útočník schopný zasáhnout do síťového provozu mohl komunikaci pozměnit.
-
2
Chybělo spolehlivé ověřování aktualizací: Aktualizační mechanismus dostatečně nekontroloval, zda stažený soubor skutečně pochází od důvěryhodného vydavatele. Pokud by tedy útočník získal kontrolu nad aktualizačním serverem nebo dokázal podvrhnout jeho odpověď, mohl by programu nabídnout vlastní škodlivý kód.
-
3
Aktualizace se spouštěly s vysokými oprávněními: A právě třetí chyba činila celou situaci mimořádně nebezpečnou. Stažený kód se mohl spouštět s rozsáhlými systémovými oprávněními. Útočník by tak mohl získat přístup k citlivým datům, instalovat další malware nebo zařízení zneužít jako součást botnetu.
Zdroj: Daniel Romero / Unsplash
Miliony zařízení po celém světě stále používaly opuštěný aktualizační mechanismus
Rozsah problému, který byl katalogizován pod označením CVE-2026-30612, překvapil i samotné bezpečnostní odborníky. Podle zjištění Eye Security byl zranitelný aktualizační mechanismus stále aktivní přibližně na:
- 3 milionech počítačů s Windows
- 350 tisících počítačů Mac
- blíže neurčeném počtu zařízení s Androidem
Dotčená zařízení se nacházela po celém světě, přičemž výraznější zastoupení měla Evropa. Neznamená to však, že by všechny tyto počítače byly napadeny malwarem. Výzkumníci identifikovali zařízení, která stále komunikovala prostřednictvím rizikového aktualizačního mechanismu.
Právě tato skutečnost ale ukazuje, jak dlouho může zapomenutý software představovat bezpečnostní hrozbu. Aplikaci totiž nemusíme aktivně používat. Stačí, že její součást na pozadí nadále běží a komunikuje s internetem.
Mohlo by vás zajímat
Rozbité hry jsou konečně spravené. Microsoft vydal aktualizaci, která odstraňuje nepříjemnou chybu
Novinky
Bezpečnostní experti provedli vlastní aktualizaci. Bez souhlasu uživatelů
Následující krok výzkumníků byl velmi neobvyklý. Místo pouhého zveřejnění varování se rozhodli jednat. Zaregistrovali opuštěné internetové domény, na které se starý aktualizační mechanismus obracel. Tím získali možnost reagovat na požadavky přicházející z dotčených zařízení.
Následně prostřednictvím původního aktualizačního systému distribuovali vlastní opatření, jehož cílem bylo nebezpečný mechanismus vypnout. Podle Eye Security se to v případě Windows a macOS osvědčilo. Počet požadavků na aktualizační servery poklesl přibližně o 98 procent.
Na Androidu byla situace odlišná. Instalace aktualizace by vyžadovala potvrzení přímo od uživatele, a proto se odborníci rozhodli do těchto zařízení stejným způsobem nezasahovat.
Celá akce má ovšem i kontroverzní rozměr. Výzkumníci totiž využili bezpečnostní slabinu k tomu, aby spustili vlastní kód na počítačích, jejichž majitelé jim k tomu nedali souhlas. Společnost svůj postup obhajuje tím, že původní aplikace už nebyla podporována, aktualizační služba neměla žádný užitečný účel a představovala závažné bezpečnostní riziko. Přesto jde o zásah, který otevírá důležité právní a etické otázky.
Zdroj: Chrome
Vypnutí aktualizací nestačí. Starý program obsahuje další nebezpečné chyby
Mohlo by se zdát, že vypnutím rizikového aktualizačního mechanismu problém skončil. Tak jednoduché to ale není. Odborníci společnosti Eye Security totiž ve starém Time4Popcorn identifikovali další závažné nedostatky. Aplikace například využívá zastaralou verzi prohlížeče Chrome z roku 2014.
Navíc má deaktivovaný takzvaný sandbox, tedy bezpečnostní mechanismus, který za běžných okolností omezuje možnosti škodlivého kódu zasahovat do dalších částí systému. Některé součásti aplikace se také načítají přes nezabezpečené HTTP a program stahuje JavaScript z dalších internetových domén.
Výzkumníci tyto domény zajistili a předali je bezpečnostní organizaci The Shadowserver Foundation. Proto samotné vypnutí aktualizační služby ještě neznamená, že je stará aplikace bezpečná.
Mohlo by vás zajímat
Apple chce dobýt vaši domácnost. HomeView má být jejím mozkem, ale Češi z něj nebudou nadšení
Novinky
Co udělat, pokud máte Time4Popcorn stále nainstalovaný?
Doporučení bezpečnostních odborníků je jednoznačné: Starý Time4Popcorn ze zařízení zcela odstraňte. Ve Windows můžete postupovat například takto:
- Otevřete Nastavení / Aplikace / Nainstalované aplikace.
- V seznamu vyhledejte Time4Popcorn.
- Pokud jej najdete, zvolte Odinstalovat.
- Po odstranění programu restartujte počítač a proveďte bezpečnostní kontrolu aktualizovaným antivirovým programem.
U počítačů Mac zkontrolujte složku Aplikace a případně také položky spouštěné při přihlášení. Na Androidu projděte seznam nainstalovaných aplikací a starý klient odstraňte.
Pokud si nejste jistí, zda jste program někdy používali, stojí za to seznam aplikací alespoň zkontrolovat. Podobnou pozornost bychom přitom měli věnovat také dalším programům, které jsme už dávno přestali používat.
Mohlo by vás zajímat
Chytrý způsob, jak uvolnit místo v telefonu. Aplikace jdou „smrsknout“ až o 60 %, málokdo ale ví, jak na to
Tipy a triky
Zapomenuté aplikace mohou být nebezpečnější, než si myslíme
Případ Time4Popcorn připomíná jeden nepříjemný problém současného softwaru. Když program přestaneme používat, nemusí to znamenat, že přestane pracovat také on.
Na pozadí mohou dál běžet aktualizační služby, pomocné procesy nebo jiné součásti, které komunikují s internetem. Pokud jejich poskytovatel ukončil podporu, nikdo už nemusí opravovat případné bezpečnostní chyby. Aplikace, která byla před deseti lety oblíbená a užitečná, se tak postupně může změnit v otevřenou cestu pro útočníky.
Proto se vyplatí čas od času projít seznam nainstalovaných programů a odstranit ty, které už nepotřebujeme. V tomto případě nejde jen o uvolnění místa na disku, ale především o bezpečnost našich zařízení.
Zdroj: EyeResearch, CyberStack, BleepingComputer
10 foto
