Забытый торрент-клиент едва не открыл дверь хакерам
Следите за новостями по этой теме!
Подписаться на «Рифы и пачки / Твоя культура»
Исследователи кибербезопасности обнаружили заброшенное приложение для просмотра фильмов через торренты, уязвимость которого могла позволить злоумышленникам распространять вредоносные программы на миллионы устройств по всему миру. По данным исследователей, признаков того, что преступники успели воспользоваться проблемой, нет: специалисты сами получили контроль над уязвимым механизмом обновления и отключили его.
Торрент — способ загружать большие файлы не с одного сервера, а одновременно от множества участников сети. Небольшой файл .torrent содержит сведения о частях раздачи и узлах, где они доступны. Специальная программа-клиент подключается к этим узлам и скачивает фрагменты файла параллельно.
Торренты стали популярны в том числе среди пиратов, распространявших фильмы, коммерческие программы и игры. Но обычному пользователю процесс мог казаться неудобным: нужно было установить клиент, найти торрент-файл, загрузить содержимое и открыть его отдельно. Эту цепочку упростил Popcorn Time — приложение с интерфейсом, похожим на Netflix, которое показывало фильмы, получая их через торренты, а не с серверов стримингового сервиса.
Около десяти лет назад Popcorn Time приобрёл большую популярность. Позже проект закрыли после давления со стороны киноиндустрии. Поскольку его исходный код был открыт, появились ответвления, в том числе Time4Popcorn. Со временем и этот проект забросили, но установленное приложение у многих осталось на компьютерах.
Опасность обнаружилась в механизме обновления Time4Popcorn. Клиенты на миллионах устройств пытались подключиться к заброшенному домену popcorntimeupd.xyz по незащищённому протоколу HTTP и принимали оттуда исполняемые файлы, не проверяя цифровую подпись. Уязвимости присвоили номер CVE-2026-30612; её критичность оценена в 9,8 балла из 10.
Тот, кто получил бы контроль над доменом, теоретически мог бы разместить там вредоносное обновление и добиться выполнения своего кода на устройствах пользователей. Исследователи компании Eye Security проверили масштаб проблемы, зарегистрировав освободившийся домен. Они зафиксировали подключения до трёх миллионов клиентов Time4Popcorn для Windows и 350 тысяч для macOS. Среди подключавшихся были домашние интернет-провайдеры, государственные и военные сети, а также корпоративные устройства. По оценке Eye Security, во многих случаях приложение когда-то установили, а затем просто забыли; судя по отсутствию активности, им, вероятно, уже не пользовались.
«Если бы мы отправили обновление, то потенциально получили бы возможность выполнять код на миллионах систем», — заявили в Eye Security, подчеркнув, что попадание этой возможности в чужие руки имело бы серьёзные последствия.
Вместо вредоносного ПО исследователи отправили код, который остановил и отключил модуль обновления. Само приложение с устройств не удаляли; данные о компьютерах и телеметрию тоже не собирали. Обновление лишь сообщило клиентам, что больше не нужно проверять наличие новых версий.
Операция длилась с ноября 2025 года по март 2026-го. За это время обновление получили почти все компьютеры, а число запросов к домену упало на 98%. Оставшиеся 2%, по данным исследователей, приходятся, по-видимому, на устройства Android, которые могут по-прежнему оставаться под угрозой.
Eye Security сочла устранение проблемы успешным, после чего передала домен и ещё 14 приобретённых доменов фонду The Shadowserver Foundation. Исследователи призвали пользователей немедленно удалить Time4Popcorn: отключение уязвимого обновления не превращает забытое приложение в безопасное. Источник: BleepingComputer.
PEREC.RU
У цифровой памяти есть неприятная особенность: она хранит не только фотографии выпускного и пароль от старой почты, но и программы, которые владелец давно перестал замечать. Человек забывает приложение, а приложение продолжает помнить, куда ходить за обновлениями. В этой истории именно такая бытовая забывчивость оказалась почти готовой инфраструктурой для чужого кода.
Особенно выразительно выглядит контраст между обещанием удобства и устройством риска. Popcorn Time когда-то упаковал торренты в оболочку, похожую на привычный стриминговый сервис: нажал — смотришь. Техническая кухня исчезла из поля зрения, но не исчезла сама. За гладким интерфейсом оставался механизм, который доверял заброшенному адресу больше, чем пользователь доверяет незнакомцу у подъезда.
Исследователи поступили не так, как поступил бы любой персонаж из плохого триллера: получили контроль над доменом — и не стали превращать его в рычаг для атаки. Они отключили обновлятор, не собирая сведения о компьютерах. Это хорошее напоминание о том, что наличие технической возможности ещё не требует немедленно монетизировать её. В отрасли, где данные часто считают бесплатной рудой, такая сдержанность почти выглядит экзотикой.
Но героический эпизод не отменяет обычного вывода: у забытых программ нет отдела кадров, который увольняет их с компьютера в день закрытия проекта. Разработчики уходят, домены бросают, пользователи не замечают — и где-то между этими действиями остаётся маленькая лазейка с табличкой «обновление». Её ценность для злоумышленника определяется не популярностью приложения сегодня, а количеством устройств, на которых оно всё ещё лежит.
Остаётся и неудобная часть: исправление не означает, что все устройства очищены от приложения или что риск исчез повсюду. По оценке исследователей, Android-клиенты могут продолжать обращаться к уязвимой инфраструктуре. Передача доменов профильному фонду — разумный способ не оставлять их бесхозными, но это не универсальная уборка в чужих телефонах и компьютерах.
Пользователю здесь предлагают не сложный ритуал цифровой гигиены, а простое действие — удалить программу, которой он не пользуется. Никакой дорогой подписки на «защиту от всего», никакого курса из двадцати уроков. Только признать, что ненужное приложение — не милый археологический слой на диске, а потенциальная дверь, ключ от которой когда-то оставили под ковриком.
Ирония в том, что удобство часто продают как избавление от сложностей, а сложность затем возвращается в виде риска, который никто не собирался обслуживать. Разработчики исчезли, пользователи забыли, а исследователям пришлось аккуратно закрывать дверь за всей этой компанией. Технологический прогресс, как обычно, великолепен — пока кто-нибудь не проверит, что именно осталось включённым.
