Popcorn Time est le logiciel qui a su populariser à l’extrême le streaming de films et de séries en passant par le réseau P2P BitTorrent. Son impact dans l’industrie audiovisuelle est si énorme qu’il fait littéralement exploser le piratage en Europe, où certains pays songent à trouver un moyen de bloquer cette application dérangeante.

Néanmoins, il faut savoir que certaines versions de Popcorn Time seraient vulnérables aux tentatives de Hack. C’est en tout cas ce qu’affirme un chercheur en sécurité informatique, qui tente de prévenir les utilisateurs et les développeurs de cette menace.

Cela ne fait maintenant qu’un an et demi que Popcorn Time est apparu sur Internet. Seulement 18 mois ont donc été nécessaires pour que ce logiciel soit devenu une des applications les plus populaires, que ce soit sur ordinateur, tablette ou même smartphone.

Il faut dire que son interface extrêmement intuitive à la Netflix a grandement contribué à sa popularisation : pas besoin de savoir configurer des paramètres complexes, vous sélectionner le film que vous voulez voir, et Popcorn Time se charge de le streamer chez vous.

Enfin, quand je dis Popcorn Time, une des variantes de ce logiciel. Car c’est là une de ses particularités : Popcorn Time possèdent de nombreux Fork, des dérivés du code source originel.

Antonios Chariton, chercheur en sécurité informatique de son état, est ainsi tombé un peu par hasard sur une faille de sécurité affectant un de ces fork populaires de Popcorn Time en configurant son pare-feu et en analysant le trafic utilisé par le logiciel de streaming.

Popcorn Time utilise une technique permettant de contourner les blocages des fournisseurs d’accès à Internet en utilisant l’infrastructure de Cloudflare, un service largement utilisé par de nombreux sites pour améliorer leurs performances : si vous voulez bloquer Popcorn Time, vous devez aussi bloquer Cloudflare et ainsi tous les sites qui l’utilisent.

Antonios a alors découvert qu’il était possible d’intercepter les requêtes envoyées à Cloudflare et d’en modifier les réponses, ce qui permet de faire transiter à peu près n’importe quoi à un ordinateur utilisant Popcorn Time. De plus, aucune vérification des données n’est effectuée, ce qui n’aide pas à la protection des utilisateurs du logiciel de streaming.

Notre chercheur est allé plus loin dans son expérience, et tentant d’injecter des scripts malicieux à un ordinateur cible grâce à Popcorn Time. Et cela marche parfaitement ! Il est ainsi possible de prendre le contrôle d’un ordinateur possédant une version vulnérable de Popcorn Time et de faire à peu près n’importe quoi avec.

Problème : cette version vulnérable est aussi une des plus populaire : celle de PopcornTime.io !

Même si les développeurs ont maintenant reçu des conseils pour protégrer leur application, qui sait combien de temps cela prendra pour que les failles soient corrigées ? Et combien d’installations de Popcorn Time ne seront pas mises à jour et resteront ainsi exposées à des attaques de pirates mal intentionnés ?

Source