報道によると、放棄されたTime4Popcornには、かつての更新用ドメインへ接続し続ける更新機能が残っていた。
この更新機能は暗号化されていないHTTPを使い、実行ファイルのデジタル署名を確認しなかったとされる。
つまり、そのドメインを管理する者がいれば、接続してきた端末へ高い権限で動くコードを送れる可能性があったという。
何か、おかしい。NEW0前回訪問以降
同じ更新経路で更新機能を停止
研究者らはドメインを取得後、Windowsから最大300万件、macOSから35万件の接続を確認したと報告している。
利用者がアプリを実際に使っている様子はなかったという。
研究者らは同じ更新経路を使い、更新機能を停止・無効化するコードを配信したとも説明した。
忘れられたアプリの自動更新が大規模に外部へ接続し続け、その弱い経路自体を止めるために使われた、という逆転がこの話の奇妙な点だ。
研究者らによると、対処用コードは約200万回ダウンロードされ、3月1日までに更新ドメインへの要求は98%減った。
ただしAndroid版や、古いChromeエンジンを使うアプリにはなお危険があり得るとして、ソフトウェアの削除を勧めている。
確認状態
UNVERIFIED
配信情報から報道の存在を確認しています。
報道が扱う事実の独立した検証は行っていません。
