Одноранговое приложение BitTorrent и его легкий uTorrent-аналог восприимчивы к особенно неприятным воровским недостаткам. Исследователь Google Тавис Орманди недавно подробно рассказал о множестве DNS-перебоев в версиях Windows, которые позволяют злоумышленникам разрешать веб-домены на компьютере пользователя, по сути предоставляя злоумышленникам ключи от королевства. Они могут выполнять удаленный код, загружать вредоносное ПО в папку автозагрузки Windows (что делает его запуск при следующей перезагрузке), захватывать загруженные файлы и просматривать историю загрузки. Недостатки касаются всех неподдерживаемых версий, включая uTorrent Web.

Хотя Орманди обеспокоен отсутствием общения после сообщения об исправлении в декабре, разработчик BitTorrent, вице-президент Дейв Рейс сказал, что недостатки обычного клиента были исправлены в бета-версиях, выпущенных на прошлой неделе. Те, кто на стабильных выпусках, должны увидеть это на этой неделе. Первоначально Орманди беспокоился о том, что BitTorrent не исправил проблемы с uTorrent Web, но Рэйс сказал, что теперь исправлен патч, который должен адресовать этот эксплойт.

Для запуска атаки потребуется только посещение неправильного веб-сайта, и последствия могут быть особенно серьезными.

«4 декабря 2017 года нам сообщили о нескольких уязвимостях в клиентских приложениях uTorrent и BitTorrent Windows. Мы сразу начали работу по устранению проблемы. Исправление выполнено и доступно в последней бета-версии (сборка 3.5.3.44352). выпущенный 16 февраля 2018 года). На этой неделе мы начнем предоставлять его в нашу установленную базу пользователей. Все пользователи будут автоматически обновляться в течение следующих дней. Характер эксплойта таков, что злоумышленник может создать URL, который заставит действия запускаться на клиенте без согласия пользователя (например, добавление торрента).

«Вчера BitTorrent также узнал, что это новый бета-продукт, uTorrent Web, уязвим для подобной ошибки. Это другой продукт и не был охвачен исходными уязвимостями. Команда за uTorrent Web выпустила патч для этой проблемы вчера и мы настоятельно рекомендуем всем пользователям uTorrent Web обновить до последней сборки 0.12.0.502, доступной на нашем веб-сайте https://web.utorrent.com, а также через уведомление об обновлении в приложении.

«Как всегда, мы призываем всех клиентов всегда оставаться в курсе событий».