Popcorn Time : 250 000 à 350 000 Mac exposés via un mise à jour orpheline
Sommaire
En bref
- Une ancienne version non officielle de Popcorn Time (Time4Popcorn) laissait un vérificateur de mises à jour actif sur les Mac, même après désinstallation.
- Ce module contactait régulièrement des adresses web devenues orphelines et exécutait sans vérification tout ce qu'il téléchargeait.
- Les chercheurs d'Eye Research estiment 250 000 à 350 000 Mac affectés et ont dû reprendre les serveurs de contrôle pour les désactiver eux-mêmes.
- Aucune exploitation malveillante détectée à date, mais les utilisateurs sont appelés à désinstaller le logiciel.
Ce que dit la source
Eye Research a documenté une vulnérabilité persistante dans Time4Popcorn, une version non officielle de l'application Popcorn Time : un module de vérification de mises à jour restait actif et s'exécutait au démarrage de la machine, indépendamment du fait que l'utilisateur lance ou non l'application. Ce vérificateur contactait des serveurs dont les adresses avaient expiré et acceptait sans validation toute donnée téléchargée, créant un vecteur d'attaque idéal pour injecter du code malveillant. Les développeurs ayant abandonné le projet depuis des années, aucun correctif officiel n'était possible.
- Eye Research a pris le contrôle des adresses serveurs abandonnées et utilisé le vérificateur lui-même pour désactiver le module sur 250 000 à 350 000 Mac (et plus d'un million de PC Windows).
- Le vérificateur s'exécutait à chaque démarrage sans vérification cryptographique des binaires téléchargés, accordant des permissions complètes pour modifier le système.
- Time4Popcorn était distribuée sous le nom officiel Popcorn Time, ce qui crée une confusion chez les utilisateurs sur le statut de leur copie installée.
- Les adresses serveurs résiduelles restent partiellement en dehors du contrôle des chercheurs, limitant l'efficacité de la correction.
- Aucune exploitation active détectée durant l'enquête, mais les vulnérabilités non corrigées dans Time4Popcorn subsistent au-delà du vérificateur.
Dans les commentaires
Débat minimal et hors-sujet : le commentaire unique soulève la nature légale de l'app (streaming illégal), non sa vulnérabilité.
- Un commentateur soulève le fait que Popcorn Time était intrinsèquement dédiée au piratage, reléguant la question de sécurité au second plan, perspective valide sur le contexte, mais qui glisse du sujet technique de la faille elle-même.
Notre lecture
Important pour les DSI gérant des parcs Mac hétérogènes : bien que Time4Popcorn soit en dehors du périmètre professionnel standard, ce cas illustre un risque méconnu : les logiciels obsolètes avec mises à jour intégrées mal conçues. Si la population concernée (utilisateurs de streaming pirate sur vieux logiciels) ne recoupe pas les environnements d'entreprise, l'incident révèle une classe de vulnérabilité, mises à jour orphelines non désinstallables, qui pourrait affecter d'autres outils. À surveiller sur le parc existant : des logiciels installés depuis des années avec des modules de maintenance en arrière-plan qui ne sont jamais audités. Les chercheurs ont livré une solution pragmatique en reprenant les serveurs, mais c'est un correctif symptomatique, pas une prévention.