แอป Popcorn Time ถูกปิดการทำงานเพื่อป้องกันบอตเน็ต
นักวิจัยจาก Eye Security ต้องเข้าควบคุมโดเมนเก่าของแอปสตรีมมิ่งเถื่อน Popcorn Time เพื่อส่งอัปเดตปิดการทำงานของระบบ หลังพบผู้ใช้หลายล้านเครื่องเสี่ยงถูกโจมตี
ภาพประกอบจากคลังภาพสต็อก ไม่ใช่ภาพจากเหตุการณ์จริง
- แอปสตรีมมิ่งเถื่อน Popcorn Time ที่ถูกทิ้งร้างมานานยังคงติดตั้งอยู่บนอุปกรณ์นับล้านเครื่อง
- นักวิจัยจาก Eye Security ตรวจพบระบบอัปเดตที่ใช้โดเมนเว็บเก่าและไร้การเข้ารหัส HTTP
- ทีมวิจัยได้เข้าซื้อโดเมนและส่งคำสั่งอัปเดตเพื่อปิดการทำงานของตัวอัปเดตตัวเอง
- ยอดดาวน์โหลดอัปเดตพุ่งทะลุ 2 ล้านครั้งก่อนโอนสิทธิ์โดเมนให้ Shadowserver Foundation
แอปพลิเคชันสตรีมมิ่งภาพยนตร์และรายการทีวีผ่านระบบทอเรนต์อย่าง Popcorn Time ซึ่งเคยได้รับฉายาว่าเป็นเน็ตฟลิกซ์แห่งวงการละเมิดลิขสิทธิ์ และเป็นแอปที่สมาคมภาพยนตร์แห่งสหรัฐอเมริกาหรือ MPAA เกลียดชังที่สุดในช่วงทศวรรษ 2010 แม้จะถูกพัฒนาทิ้งร้างมานานหลายปีแล้ว แต่ซอฟต์แวร์ดังกล่าวก็ยังคงถูกฝังอยู่ในอุปกรณ์ของผู้ใช้งานนับล้านเครื่องทั่วโลกที่พร้อมจะตกเป็นทาสของกองทัพบอตเน็ตได้ตลอดเวลา
ทีมนักวิจัยจากบริษัทรักษาความปลอดภัย Eye Security ค้นพบว่าโปรแกรมอัปเดตของ Popcorn Time เวอร์ชันดัดแปลงที่เรียกว่า Time4Popcorn ยังคงทำงานอยู่บนอุปกรณ์ Windows, macOS และ Android จำนวนมาก โดยตัวโปรแกรมจะพยายามติดต่อกลับไปยังโดเมนเว็บไซต์ที่ถูกปล่อยทิ้งร้างผ่านโปรโตคอล HTTP แบบไม่เข้ารหัส พร้อมกับรันเบราว์เซอร์ Chrome เวอร์ชันเก่าที่มีช่องโหว่ด้านความปลอดภัย
ภาพประกอบจากคลังภาพสต็อก ไม่ใช่ภาพจากเหตุการณ์จริง
Niels Teusink จาก Eye Security ระบุว่าตัวอัปเดตนี้เปิดช่องให้ผู้ไม่หวังดีสามารถติดตั้งและรันซอฟต์แวร์ใดๆ ก็ได้ด้วยสิทธิ์การใช้งานระดับสูง ทำให้แอปนี้กลายเป็นเครื่องมือชั้นดีในการสร้างเครือข่ายบอตเน็ต เพียงแค่เข้ายึดครองโดเมนเว็บไซต์ ดักข้อมูลผ่านการโจมตีแบบ man-in-the-middle หรือแม้แต่การสอดแนมเครื่องคอมพิวเตอร์ที่รันซอฟต์แวร์ดังกล่าวอยู่
ปรากฏการณ์ซอฟต์แวร์ผีดิบ (Zombie Software) เช่นนี้สะท้อนให้เห็นความเสี่ยงที่ซ่อนอยู่บนอุปกรณ์ของผู้ใช้งานทั่วไป แอปพลิเคชันหรือโปรแกรมอรรถประโยชน์ที่ดาวน์โหลดไว้ในอดีตและไม่มีการอัปเดตความปลอดภัยอีกเลย สามารถกลายเป็นจุดอ่อนด้านความมั่นคงปลอดภัยไซเบอร์ขนาดใหญ่ได้ทันทีเมื่อโครงสร้างพื้นฐานเบื้องหลัง เช่น โดเมนเว็บไซต์หรือเซิร์ฟเวอร์เดิมหมดอายุและถูกปล่อยว่างให้ผู้ไม่ประสงค์ดีเข้าไปสวมรอยซื้อต่อได้ง่ายๆ
แนวทางแก้ไขของทีมวิจัยคือการจดทะเบียนโดเมนเว็บที่หมดอายุเหล่านั้นเสียเอง แล้วส่งคำสั่งอัปเดตพิเศษเข้าไปเพื่อสั่งให้ตัวโปรแกรมอัปเดตปิดการทำงานของตัวเองลง แม้จะมีความกังวลด้านจริยธรรมเกี่ยวกับการเข้าไปยุ่งกับอุปกรณ์ของผู้อื่น แต่นักวิจัยชี้ว่าทางเลือกเดียวของพวกเขาคือการไม่ทำอะไรเลย พร้อมกับระบุว่ากระบวนการอัปเดตเดิมไม่ได้ทำหน้าที่ที่เป็นประโยชน์อันใดอยู่แล้ว นอกจากการสร้างความเสี่ยงให้แก่ผู้ใช้งานเท่านั้น
"กระบวนการอัปเดตไม่ได้ทำหน้าที่อะไรที่เป็นประโยชน์เลย มันมีแต่จะสร้างความเสี่ยงให้แก่ผู้ใช้งานเท่านั้น"
ทีมนักวิจัย Eye Security
ทางบริษัท Eye Security เปิดเผยถึงวิธีการจัดการบนระบบปฏิบัติการต่างๆ ดังนี้:
- บน Windows: ตัวอัปเดตจะหยุดและปิดการทำงานผ่าน Service Control Manager โดยไม่มีการลบไฟล์ใดๆ
- บน macOS: ใช้เชลล์สคริปต์รันคำสั่งเพื่อบล็อกไม่ให้กระบวนการอัปเดตเริ่มต้นขึ้น
- บน Android: ไม่ได้ระบุวิธีการที่แน่ชัด เนื่องจากผู้ใช้ยังคงต้องกดยืนยันการติดตั้งด้วยตนเอง
อย่างไรก็ตาม ทีมงานต้องปรับแต่งไฟล์อัปเดตใหม่อีกครั้งหลังจากที่ตัวอัปเดตถูกอัปโหลดขึ้นไปยังเว็บไซต์ VirusTotal จนทำให้โปรแกรมสแกนไวรัสหลายตัวตรวจจับว่าเป็นมัลแวร์และบล็อกการทำงานไว้ แต่กลับปล่อยให้ตัวอัปเดตที่มีช่องโหว่เดิมทำงานต่อไป ทั้งนี้ยังไม่เป็นที่แน่ชัดว่ามีอุปกรณ์จำนวนเท่าใดที่ตกอยู่ในความเสี่ยง แต่ Eye Security ระบุว่าพวกเขาส่งไฟล์อัปเดตไปมากกว่า 2 ล้านครั้งจนถึงเดือนมีนาคม ก่อนที่จะยุติการส่งและโอนโดเมนทั้งหมดให้กับมูลนิธิความปลอดภัยทางเว็บ Shadowserver Foundation
ที่มา: The Verge
พบข้อมูลผิดพลาดในบทความนี้? แจ้งปัญหาบทความนี้
ความคิดเห็น
แสดงความคิดเห็น