Vor mehr als zehn Jahren sah die Streaming-Landschaft noch anders aus als heute, wo zahlreiche große Player mit legalen Angeboten den Kuchen weitgehend unter sich aufteilen. Video-Streaming lief damals noch häufiger über Torrent-Netzwerke, deren Angebote nicht immer rechtlich wasserdicht waren. Eine beliebte App, um Medieninhalte über Peer-to-Peer-Netzwerke anzusehen, war Popcorn Time. Im Jahr 2014 wurde sie von ihren Entwicklern schlagartig aufgegeben, aber als Fork unter dem Namen Time4Popcorn weitergeführt. Wer dieses Programm von damals immer noch auf seinem System hat, sollte es spätestens jetzt entfernen, denn die Cybersicherheitsfirma Eye Research ist im Update-Mechanismus der App auf gefährliche Schwachstellen gestoßen.


Updater fragt regelmäßig längst verlassene Domains nach Aktualisierungen
Um die App zu aktualisieren, hatten die Entwickler Time4Popcorn mit einem Updater ausgestattet, der bis heute nach jedem Systemstart neue Versionen der App sucht. Dabei identifizierte das Team von Eye Research mehrere Probleme: Zum einen wird die Verbindung zu den Zieldomains unverschlüsselt über HTTP aufgebaut. Noch schlimmer ist, dass die App und deren Entwicklung längst aufgegeben wurde. Damit waren auch die Domains, die Time4Popcorn nach Updates fragt, herrenlos und inzwischen teilweise bei anderen Inhabern gelandet. Jeder könnte daher die Update-Quellen übernehmen und das Time4Popcorn auf den Rechnern der Nutzer dazu bringen, beliebigen Code auszuführen. Da die Anwendung auf den Host-Systemen zudem mit sehr weitreichenden Rechten läuft – als root auf Macs – und keine Verifizierung der Update-Pakete durchführt, ist die Angriffsfläche enorm groß.

Sicherheitsfirma übernimmt Domain, um Updates zu deaktivieren
Eye Research schätzt die Anzahl der betroffenen Macs auf 250 bis 350.000. Der größte Teil schien von Privatanwendern zu stammen, aber auch Regierungs- und Militärnetzwerke waren den Angaben nach dabei. Um das Sicherheitsrisiko zu beseitigen, spielten die Sicherheitsexperten schließlich eine eigens entwickelte "Aktualisierung" für Time4Popcorn aus, der den Updater dauerhaft deaktivierte. Ausgeliefert wurde diese über Teile der verwaisten Domains, von denen das Sicherheitsteam von Eye Research zuvor schon eine für die nähere Untersuchung übernommen hatte. Das gleiche Prinzip, über das auch Angriffe und bösartige Updates möglich gewesen wären, diente hier zur Beseitigung des Problems.

Auch Time4Popcorn selbst hat Schwachstellen – Deinstallation empfohlen
Das eigentliche Time4Popcorn-Programm wurde im Rahmen des Vorgangs ebenfalls kurz untersucht. Die Ergebnisse machten keinen besseren Eindruck als der Updater. Die App basiert die App auf einer Chrome-Engine von 2014, nicht in der Sandbox läuft und sämtliche seitdem behobenen Sicherheitslücken aufweisen dürfte. Ein sicherer Betrieb ist so ausgeschlossen und eine Deinstallation dringend empfohlen.