Apps de torrent têm falha que permite hackers controlarem computador remotamente

Uma grave falha de segurança foi descoberta no Transmission, um dos principais clientes de torrent da atualidade, permitindo a execução de código malicioso e o controle remoto do computador por terceiros. De acordo com o responsável pela descoberta, o problema também existe em outros clientes do tipo, cujos nomes não foram revelados.

A brecha, considerada de baixa complexidade, está localizada em um sistema que permite a utilização do Transmission remotamente, por meio do navegador. Muitos usuários, acreditam os especialistas responsáveis pela descoberta, desconhecem tal função, ou, se sabem de sua existência, não configuram senhas de acesso por acreditarem na segurança do sistema ou ignorarem sua utilização. É justamente desse descuido que os hackers se aproveitam.

Utilizando sites que redirecionam o navegador para DNS sob seu controle, os criminosos são capazes de assumir controle remoto dos softwares de torrent, alterando, por exemplo, as pastas de destino e também os arquivos baixados. É aí que o golpe acontece, com executáveis e códigos maliciosos sendo baixados e rodados na máquina sem autorização, garantindo controle sobre ela.

O método seria eficaz em praticamente todas as versões do Transmission, com diferentes configurações dos sistemas operacionais Windows e Linux, rodando os navegadores Edge, Chrome e Firefox. Acredita-se, também, que a vulnerabilidade esteja presente na versão macOS da aplicação.

A revelação da brecha também é uma fuga do cronograma usual do Project Zero, uma iniciativa da Google voltada para a pesquisa e descoberta de falhas de segurança em aplicativos web. Normalmente, o time espera 90 dias entre a revelação das falhas aos responsáveis pelas soluções e sua divulgação ao público, mas desta vez, a equipe aguardou somente 40 dias, revelando não apenas a abertura quanto um patch para correção.

Isso se deve, principalmente, ao fato de a equipe de desenvolvimento do software não ter respondido aos contatos da equipe da Google. Para piorar as coisas, outros clientes de torrent também estariam vulneráveis à mesma falha, mas seus nomes não foram divulgados em respeito ao prazo usual de 90 dias, uma vez que patches de correção não puderam ser desenvolvidos para nenhum dos outros identificados.

Em comunicado oficial, publicado apenas depois da revelação da falha pelo Project Zero, a equipe responsável pelo Transmission reconheceu o problema e disse que uma atualização de correção será aplicada o mais rápido possível. A Google, entretanto, não revelou em que pé está a comunicação com os desenvolvedores por trás dos outros clientes nos quais a falha também foi identificada.

Fonte: Canaltech