Специалист Google Project Zero Тевис Орманди (Tavis Ormandy) обнаружил сразу несколько проблем в составе нового клиента uTorrent Web, а также классического десктопного клиента uTorrent для Windows. Напомню, что в январе 2018 года исследователь сообщил о баге в другом популярном приложении для работы с торрентами, Transmission, и пообещал продолжить цикл публикаций другими уязвимостями, в других клиентах.

Найденные Орманди проблемы позволяют атакующим заразить пользователей уязвимых клиентов малварью, а также собрать информацию о последних загрузках жертв. Специалист рассказал, что клиенты uTorrent оставляют незащищенный RPC-сервер на портах 10000 (классический uTorrent) и 19575 (uTorrent Web). В итоге злоумышленники могут встроить в код своего сайта команды для взаимодействия с RPC, а затем останется лишь заманить пользователя уязвимой версии uTorrent на такую вредоносную страницу.

Более того, клиенты подвержены проблеме так называемой «перепривязки» DNS (DNS rebinding), что позволяет злоумышленнику сделать свои запросы к RPC-серверу легитимными.

Наибольшее количество проблем было найдено в коде uTorrent Web. Посредством веб-клиента возможно полностью перехватить контроль над RPC и самим торрент-клиентом, загрузить вредоноса на компьютер жертвы, изменить местоположение папки для загрузки по умолчанию. То есть злоумышленник способен изменить пусть на директорию /Startup, в результате чего все загруженные атакующим вредоносы будут автоматически выполнены при следующем запуске системы.

Также Орманди полагает, что существует возможность перехвата данных из uTorrent Web, но так как исследователю удалось добиться полной компрометации клиента, он не стал изучать эту проблему отдельно.

Классический клиент uTorrent, в свою очередь, менее уязвим, он лишь позволяет злоумышленнику заполучить список последних загрузок, а также добраться до самих загруженных файлов, если те еще доступны на диске.

Эксперт создал специальные proof-of-concept страницы, демонстрирующие проблемы  в работе: uTorrent Web и uTorrent.

Разработчики BitTorrent Inc. уже представили бета-версию классического десктопного клиента (3.5.3 Beta), где уязвимости были устранены. Стабильный релиз ожидается в ближайшие дни. Исправления для uTorrent Web так же уже готовы, поэтому пользователям рекомендуется обновиться до версии 0.12.0.502.



4 комментария

  1. Themistocles

    22.02.2018 at 13:42

    пойдет волна новых судебных исков к пиратам в Европе?

  2. 0d8bc7

    26.02.2018 at 00:33

    О, а я как раз пользуюсь старой версией uTorrent, в которой тоже есть эта проблема. Спасибо за информацию.
    «Классический клиент uTorrent, в свою очередь, менее уязвим, он лишь позволяет злоумышленнику заполучить список последних загрузок, а также добраться до самих загруженных файлов, если те еще доступны на диске.»
    — Ну хоть на этом спасибо.
    Кстати, если занять локальный порт 10000, uTorrent использует порт 10015, если занять и его — 10078, далее 10231, 10516, 10975, 11650, 12583… (во всяком случае, у меня такие номера; дальше не проверял).
    Но можно решить проблему с помощью Proxifier. Правило:
    Applications: Any
    Target hosts: 127.0.0.1
    Target ports: 10000 (если в вашем случае это 10000 — желательно знать, какой точно порт использует uTorrent)
    Action: Block
    Его нужно переместить вверх перед стандартным правилом «Localhost» (чтобы срабатывало до него; если «Localhost» уже нет, то смотрите, какие ещё у вас есть правила, которые могут разрешить соединение). После можно попробовать зайти на http://127.0.0.1:10000/

  3. john_

    12.03.2018 at 06:52

    Использую уже лет 5 free download manager. Может и до него GPZero доберётся

  4. ELForcer

    15.03.2018 at 09:04

    А в 1.8.3 есть эта проблема?

Оставить мнение