Более 2,5 млн компьютеров на Windows и около 300 тыс. Mac годами запускали старый механизм обновления модифицированного клиента Time4Popcorn. Он обращался к адресам, часть которых уже можно было свободно зарегистрировать, а затем скачать и запустить код с высокими привилегиями. Заброшенные домены превратили забытый торрент-клиент в потенциальный канал атаки на миллионы устройств — и это неприятно актуальный сюжет для компаний с удалёнными сотрудниками и неконтролируемым ПО на их ноутбуках.
Проблему обнаружила компания Eye Security, анализируя телеметрию клиента. Как сообщает Dark Reading, специалисты увидели необычную активность апдейтера Time4Popcorn — версии BitTorrent-приложения, появившейся ещё в 2014 году. Программа продолжала проверять обновления, хотя проект давно заброшен. Некоторые домены из списка запросов оказались просроченными или уже вели на подозрительные ресурсы.
Сценарий атаки не требовал взлома инфраструктуры разработчика: злоумышленнику достаточно зарегистрировать освободившийся домен, который всё ещё прописан в старом клиенте. Исследователи Eye Security разобрали логику обновления и выяснили, что апдейтер принимал ссылку на исполняемый файл, скачивал его и запускал от имени NT AUTHORITYSYSTEM. Проверки цифровой подписи не было, обмен шёл по HTTP. По сути, доменное имя становилось ключом к удалённому выполнению кода на машинах, где пользователь давно мог забыть о существовании приложения.
Eye Security выпустила обновление, отключающее опасные обращения. Это редкий случай, когда сторонняя компания фактически берёт на себя поддержку мёртвого продукта, потому что прежнему владельцу уже не до него. Исследователи отдельно уточнили: уязвимость не относится к другому проекту с названием Popcorn Time, который в 2025 году начал развиваться как легитимный стриминговый сервис.
История важна не из-за одного торрент-клиента. Заброшенные домены регулярно остаются в коде приложений, мобильных SDK, скриптах развёртывания, интеграциях с облачными хранилищами и обновляющих агентах. Пока адрес принадлежит исходной компании, он выглядит как обычная техническая зависимость. После окончания регистрации тот же адрес может купить любой желающий — от реселлера до оператора вредоносной кампании. В отличие от типосквоттинга, здесь не нужно убеждать пользователя открыть похожий сайт: доверие уже зашито в работающий софт.
Похожий масштаб проблемы проявился в феврале 2025 года, когда компания watchTowr обнаружила 150 заброшенных Amazon S3-бакетов и зарегистрировала их. На эти адреса пришло более 8 млн HTTP-запросов от государственных организаций и компаний. Основатель и гендиректор watchTowr Бенджамин Харрис считает, что ИИ снижает порог для такого поиска: атакующий может автоматизировать установку программ, перехват сетевых обращений, проверку статуса доменов и поиск оставленных зависимостей. То, что раньше требовало терпеливого реверс-инжиниринга, всё легче превратить в массовую инвентаризацию.
Для разработчиков вывод довольно приземлённый: домены в коде и конфигурации — это такие же зависимости, как пакеты из реестра. Их нужно инвентаризировать, закреплять за владельцем, продлевать, мониторить DNS и удалять из устаревших версий продукта. Для ИБ-команд полезно искать на конечных точках давно не обновлявшиеся приложения и отслеживать исходящие обращения к недавно зарегистрированным либо сомнительным доменам. Особое внимание — домашним устройствам сотрудников: там корпоративный прокси и привычные средства контроля часто не видят лишний апдейтер.
Главная проблема в том, что заброшенные домены редко выглядят как критическая уязвимость до первого захвата. У них нет CVE, владельца продукта и понятного окна исправления — зато есть накопленная аудитория старых установок. Чем больше организации полагаются на сторонние компоненты и исторические интеграции, тем ценнее для атакующих становится цифровая инфраструктура, о которой все просто перестали думать. Подробности расследования и комментарии экспертов приведены в материале .
