放置されたPopcorn Timeアプリ、ゾンビ化を防ぐために無効化が必要に

何が起きたのか

Popcorn Time は、インターネット上の映画やテレビ番組を簡単に見られるアプリでした。開発は何年も前に止まっていますが、今も多くのパソコンやスマホに入ったままです。セキュリティ会社 Eye Security の研究者は、「Time4Popcorn」という派生版のアップデート機能が、世界中の Windows、macOS、Android の機器で動き続けているのを見つけました。この機能は、もう使われていないウェブサイトに、暗号化されていない方法で連絡していました。さらに、古くて安全性の弱い Chrome も使われていました。

わかっている数字と事実

• Eye Security は、3月までに 200 万回以上アップデートを配ったと説明しています。
• アップデートがどれだけの機器に影響したのかは、はっきりしていません。
• Windows では、アップデートがサービスを止めて無効にしました。ファイルは消していません。
• macOS では、シェルスクリプトで更新処理が始まらないようにしました。
• Android では、アップデートを入れるには利用者の操作がまだ必要でした。研究者はこの部分には対応していません。

なぜ危ないのか

このアップデート機能は、どんなソフトでも最高権限で入れて動かせる仕組みでした。そのため、悪い人が古いドメインを乗っ取れば、大量の機器を操るボットネットを作れます。通信を途中で盗み見る攻撃や、どの機器が使われているかを調べる監視にも使えてしまいます。

なぜ重要なのか

使われなくなったソフトでも、機器に残っていると大きな危険になります。今回の研究者は、危険を減らすために、勝手にアップデートを送って機能を止めました。ただし、他人の機器に手を加える行為なので、倫理的な議論もあります。研究者は「何もしないという選択肢はなかった」と説明しています。

今後注目すべき点

• ドメインは 3月に Shadowserver Foundation という非営利団体へ移されました。今後の管理に注目です。
• 残っている Android 端末の対応が進むかどうかが焦点です。
• 古いアプリを使い続けている人が、アンインストールするかどうかが大切です。