北京
还记得 Popcorn Time 吗？那个把 BT 种子串流包装成“点开就能看”的影视应用，曾被称作“盗版界的 Netflix”。它的开发早已停摆多年，但装在全球数百万台设备上的旧版本并没有消失——它们正安静地等着被拉进一支僵尸大军。
Eye Security 的研究人员发现，一个名为 Time4Popcorn 的分支版本，其更新程序仍在大量 Windows、macOS 和 Android 设备上运行。这些程序通过未加密的 HTTP 协议，向早已废弃的域名“报到”，内部还跑着一个过时且不安全的 Chrome 版本。
问题出在更新机制上。Eye Security 的 Niels Teusink 表示，这个更新程序本可以用来安装并运行几乎任何类型的软件，而且带着完整权限。只要接管其中一个域名，或者用中间人攻击针对特定设备，就能轻松搭起一个僵尸网络；反过来，也能通过识别运行该软件的机器实施监控。
研究人员的处理方式相当直接：注册其中一个域名，再用它下发自己的更新，命令更新程序把自己关掉。他们承认这个修复方式存在伦理争议，但强调唯一的替代方案“就是什么都不做”，理由是“这个更新流程本来就不做任何有实际功能的事，它只是在给用户制造风险”。
具体操作上，Windows 设备收到的更新“只是通过服务控制管理器停止并禁用该服务”，不删除任何文件；macOS 上则用一段 shell 脚本执行命令，阻止更新进程启动。Android 设备没有被提及，在那边安装更新仍然需要用户先动手确认。
这次“反向更新”还遇到过一个插曲：更新包上传到 VirusTotal 后，安全软件把它标记为恶意程序并拦截，结果反而让有漏洞的更新程序继续跑着。他们不得不对更新做了调整。
究竟有多少设备处于风险之中，目前并不清楚。但 Eye Security 表示，到 3 月停止发送更新为止，他们“发出了超过 200 万次更新下载”。随后，他们把自己使用的域名移交给了网络安全的非营利组织 Shadowserver Foundation。
一个被抛弃的更新器，一群还在按时打卡的旧设备，加上一个谁都能抢注的域名——这三样凑在一起，就是现成的僵尸网络招募站。这次是安全研究员先抢到了域名，下一次未必。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
