数百万台のPCに残された忘れ去られたバックドア
放棄されたPopcorn Timeのビルドが、数百万台のコンピューターに危険な仕組みを何年も残していました。この仕組みを悪用すれば、誰でもシステムの最上位権限でひそかにコードを実行できました。
Eye Securityの研究者らは、古い更新インフラの一部を掌握しました。そして、犯罪者がこの欠陥を悪用する前に、200万台以上のシステムでアップデーターを無効化しました。この措置がなければ、古いインストール環境は巨大なボットネットの中核になっていた可能性があります。
問題が発覚した経緯
発見はほぼ偶然でした。ある1台のコンピューターで、Time4PopcornのUpdater.exeが動き続けていたのです。Time4Popcornは、Popcorn Timeの古い派生版です。約10年前に多くのユーザーがインストールし、そのまま忘れていました。
このプログラムは、すでに誰も管理していないドメインpopcorntimeupd.xyzに接続を試み続けていました。研究者らがこのドメインを取得したところ、すぐに毎秒約50件のリクエストが届き始めました。
被害規模の推計
6カ月間で、サーバーは380万件の異なる識別子からリクエストを受信しました。ただし、この数をそのままマシンの台数とみなすことはできません。Windowsでは1つの識別子が複数のマシンに割り当てられることがあり、macOSでは1台のデバイスで識別子が変わることがあるためです。
そこで研究者らは、脆弱なWindowsコンピューターを約250万～300万台と推計しました。これに加えて、macOSデバイスが25万～35万台あるとみています。リクエストの大半は家庭のネットワークから届いていました。それでも、複数の国の企業、政府、軍のネットワークに属するアドレスも含まれていました。
アップデーターに潜む欠陥
最大の危険はアップデーター自体にありました。このプログラムは、暗号化されていないHTTPで新バージョンの有無をサーバーに問い合わせていました。サーバーは実行ファイルへのリンクを返すことができ、クライアントはデジタル署名を検証せずにそれをダウンロードして実行していました。
Windowsでは、コードはNT AUTHORITY\SYSTEM権限で動作しました。macOSではroot権限を得ました。ユーザーは何もクリックする必要がありません。この欠陥には、識別子CVE-2026-30612が割り当てられました。
Androidが影響を免れた理由
Androidでは仕組みが異なっていました。アプリは起動後にのみ更新を確認します。さらに、APKのインストール時には所有者に確認を求めます。このため、攻撃者が同じようにひそかにコードを実行することはできませんでした。
脅威そのものを治療に転用
通常のパッチでTime4Popcornを修正することは、誰にもできませんでした。開発者はとうの昔にプロジェクトを放棄しており、更新用ドメインの一部は失効したり、他者の手に渡ったりしていました。そこで研究者らは、脅威を生んだ仕組みそのものを利用しました。
2025年11月から、脆弱なWindowsおよびmacOSのクライアントに小さなファイルが配信され始めました。このファイルは古い更新サービスを停止し、再び起動しないようにします。研究者らによると、このファイルはユーザーのファイルには触れず、テレメトリーも収集しないということです。
無効化作戦の成果
1カ月後には、100万台以上のシステムがこのアップデートを受信しました。管理下のドメインへのリクエストは約90%減少しました。3月初めには、通信量は98%減となりました。配信されたアップデートは合計200万件を超えます。
その後、専門家らは配信を停止しました。取得した15のドメインはShadowserver Foundationに引き渡しました。これにより、マルウェアの運用者がドメインを悪用することを防ぎます。
古いTime4Popcornは今も安全ではない
アップデーターを無効化しても、古いTime4Popcornが安全になるわけではありません。このアプリは、2014年当時のChromeブラウザーエンジンをサンドボックス無効のまま使用しています。また、一部のデータをHTTPで取得し、長年放置されたドメインにも接続します。研究者らは、JavaScript経由でcalc.exeを起動するデモまで用意しました。
古いバージョンの利用者は、このプログラムを完全に削除してください。なお、研究者らは、2025年以降にPopcorn Timeの名称を使っているプロジェクトは、今回の話の対象から除外しています。
翻訳元: https://meterpreter.org/popcorn-time-updater-flaw/
