Um dos mais populares apps de streaming ( pirata ) pode ter se tornado um alvo valioso para crackers. Hoje o Torrent Freak compartilhou um relato do engenheiro de segurança Antonios Chariton que descobrou uma grande falha de segurança em uma das mais populares distribuições do Popcorn Time.
“Existem duas razões que me levaram a investigar o Popcorn Time,” disse Chariton. “Em primeiro lugar eu conheço muitas pessoas que instalaram esta aplicação nos seus computadores pessoais e a usam e segundo por puro acidente: Eu estava configurando o firewall no meu computador quando percebi o trafego de rede iniciado pelo Popcorn Time.“
Basicamente para burlar o bloqueio na Europa, os desenvolvedores do Popcorn Time utilizaram a infraestrutura do CloudFlare, o que significa que provedores europeus teriam que teoricamente bloquear toda a rede do CloudFlare para poder cortar o acesso ao Popcorn Time.
Infelizmente “o pedido de conexão feito ao Cloudflare é iniciado via HTTP” e Chariton explica que isto poderia permitir a um intruso a inicialização de um ataque “man-in-the-middle”(MITM) contra o computador rodando o app. Aparentemente sem muito esforço Chariton foi capaz de injetar código malicioso através do próprio app, tomando controle do aplicativo.
Mas nem tudo está perdido, desde que os desenvolvedores sigam o conselho do pesquisador:
HTTP é inseguro. Não existe nada que você possa fazer para mudar isto. Por favor use HTTPS, especialmente em aplicações que não rodam dentro de um navegador. Segundo limpe a sua entrada de dados. Mesmo que você receba algo via TLS v1.2 usando um certificado, isto ainda não é seguro. Sempre realize confirmações do lado do cliente para verificar a resposta do servidor.
Levou apenas uma hora para Chariton encontrar esta vulnerabilidade, bolar um plano para explora-la e escrever o código necessário. Claramente este é um problema que requer atenção imediata por parte dos desenvolvedores do PopCorn Time.
Por outro lado, mesmo uma conexão inicializada por HTTPS pode ser alvo de um ataque MITM, não é nenhuma novidade, de qualquer forma vale lembrar que se trata de um app que promove a pirataria então não podemos esperar muito, sem contar que ninguém trabalhar de graça, um bom exemplo disso foi o caso da extensão Hola! que vendia o poder de processamento ocioso de quem a usava de forma furtiva.
Atualizado 04/08/2015
Estavamos monitorando a conversa entre Antonios e o pessoal do Popcorn Time no Github e parece que a falha no app foi corrigida.
A equipe do Popcorn Time também comentou o problema em um post explicando que o ataque “Requer que o atacante esteja dentro da rede local ou tenha realizado um ataque contra os servidores DNS utilizados pelo usuário”, o que realmente é verdade, de qualquer forma nunca é demais prevenir.
