Abandoned Popcorn Time app exposed millions of devices to RCE attacks

Un grupo de in­ves­ti­ga­do­res des­ac­ti­vó de forma re­mo­ta un ac­tua­li­za­dor vul­ne­ra­ble per­te­ne­cien­te a una ver­sión de­ri­va­da de la apli­ca­ción Pop­corn Time, eli­mi­nan­do una bre­cha de se­gu­ri­dad que ex­po­nía una gran can­ti­dad de compu­tado­ras a ata­ques de eje­cu­ción re­mo­ta de có­di­go con altos pri­vi­le­gios. El fallo afec­ta­ba a los sis­te­mas ope­ra­ti­vos Win­dows y macOS me­dian­te com­po­nen­tes que se co­mu­ni­ca­ban con un do­mi­nio des­aten­di­do a tra­vés de pro­to­co­los sin ci­frar y que acep­ta­ban ar­chi­vos eje­cu­ta­bles sin com­pro­bar fir­mas di­gi­ta­les.

El ha­llaz­go se pro­du­jo des­pués de que es­pe­cia­lis­tas de Eye Se­cu­rity re­gis­tra­ran el do­mi­nio vin­cu­la­do a las ac­tua­li­za­cio­nes y de­tec­ta­ran mi­llo­nes de co­ne­xio­nes pro­ce­den­tes de redes re­si­den­cia­les, cor­po­ra­ti­vas, gu­ber­na­men­ta­les y mi­li­ta­res, aun­que los usua­rios pa­re­cían no uti­li­zar ac­ti­va­men­te el soft­wa­re. Ante la gra­ve­dad de la si­tua­ción, los ex­per­tos uti­li­za­ron el pro­pio me­ca­nis­mo de ac­tua­li­za­ción de­fec­tuo­so para des­ple­gar un có­di­go que de­tu­vo y des­ha­bi­li­tó el ac­tua­li­za­dor en las compu­tado­ras afec­ta­das, sin re­co­pi­lar datos ni bo­rrar ar­chi­vos, para pos­te­rior­men­te trans­fe­rir el con­trol de los do­mi­nios a una or­ga­ni­za­ción sin fines de lucro.

A pesar de esta in­ter­ven­ción, los es­pe­cia­lis­tas ad­vir­tie­ron que los ries­gos con­ti­núan vi­gen­tes para quie­nes uti­li­zan la apli­ca­ción, ya que los usua­rios de dis­po­si­ti­vos An­dro­id si­guen ex­pues­tos al re­que­rir in­ter­ac­ción ma­nual y no haber sido po­si­ble des­ac­ti­var su ac­tua­li­za­dor de forma re­mo­ta. Ade­más, la pla­ta­for­ma em­plea un motor grá­fi­co muy an­ti­guo y ca­ren­te de pro­tec­cio­nes de ais­la­mien­to, por lo que la re­co­men­da­ción prin­ci­pal es des­ins­ta­lar por com­ple­to el pro­gra­ma de los equi­pos.

El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre las mé­tri­cas de pre­ven­ción tras el ac­ce­so ini­cial men­cio­na­das al final del texto.