Bahaya Tersembunyi Software Lama

Bahaya Tersembunyi Software Lama – Perangkat lunak yang sudah lama tidak dikembangkan ternyata masih dapat menyimpan risiko keamanan, bahkan ketika penggunanya sudah tidak lagi menggunakannya secara aktif.

Salah satu contohnya adalah Time4Popcorn, aplikasi berbasis BitTorrent yang populer sekitar 2014 untuk mengunduh film dari internet. Meski proyek aslinya telah lama ditinggalkan, mekanisme pembaruan otomatisnya masih berjalan pada jutaan perangkat Windows dan ratusan ribu komputer Mac.

Masalah ini ditemukan ketika peneliti keamanan mengamati aktivitas pembaruan aplikasi yang mencoba menghubungi sejumlah domain internet lama. Beberapa domain tersebut sudah tidak lagi digunakan dan dapat didaftarkan kembali oleh pihak lain.

Kondisi ini membuka peluang bagi penyerang untuk mengambil alih domain tersebut dan menyalahgunakannya sebagai jalur distribusi program berbahaya.

Pembaruan Otomatis yang Berubah Menjadi Ancaman

Time4Popcorn merupakan aplikasi berbagi berkas melalui jaringan BitTorrent. Walaupun pengembangannya telah lama berhenti, komponen pembaruan otomatis atau updater masih aktif di perangkat yang pernah memasang aplikasi tersebut.

Berdasarkan temuan peneliti, updater itu masih berjalan pada lebih dari 2,5 juta perangkat Windows dan diperkirakan 300.000 perangkat Mac. Program tersebut secara berkala memeriksa sejumlah domain untuk mencari pembaruan perangkat lunak.

Persoalannya, beberapa domain yang dihubungi sudah tidak lagi dimiliki atau dikelola oleh pengembang aslinya. Domain yang ditinggalkan seperti ini dapat didaftarkan kembali oleh siapa pun.

Jika penyerang berhasil mengambil alih salah satunya, mereka berpotensi mengirimkan pembaruan palsu kepada perangkat yang masih menjalankan updater tersebut.

Risikonya semakin besar karena mekanisme pembaruan Time4Popcorn tidak menerapkan pemeriksaan tanda tangan digital (code signing) dan menggunakan koneksi HTTP yang tidak terenkripsi.

Peneliti menemukan bahwa proses tersebut dapat digunakan untuk mengunduh berkas program dari sebuah tautan, kemudian menjalankannya dengan hak akses sistem yang sangat tinggi.

Artinya, pihak yang menguasai domain terkait berpotensi memasukkan program berbahaya ke perangkat korban tanpa harus meminta pengguna mengunduh atau menjalankannya secara manual.

Program yang dijalankan dengan hak akses tinggi juga dapat memiliki keleluasaan lebih besar untuk mengakses sistem.

Mengenal Bahaya Dropcatch Domain

Kasus Time4Popcorn memperlihatkan risiko yang dikenal sebagai dropcatch domain. Istilah ini merujuk pada domain yang sebelumnya digunakan oleh suatu layanan atau perangkat lunak, kemudian kedaluwarsa dan tersedia kembali untuk didaftarkan.

Ketika sebuah perusahaan atau pengembang menghentikan layanan, mereka terkadang lupa memperbarui atau mempertahankan domain yang masih digunakan oleh aplikasi lama.

Padahal, perangkat lunak yang pernah dipasang pengguna bisa saja terus menghubungi domain tersebut meskipun layanan aslinya sudah tidak aktif.

Jika domain itu kemudian dibeli pihak yang tidak bertanggung jawab, penyerang dapat memanfaatkannya untuk menyisipkan konten berbahaya, mengarahkan pengguna ke situs palsu, atau bahkan mendistribusikan malware melalui mekanisme pembaruan aplikasi.

Risiko ini berbeda dari domain palsu yang sekadar menyerupai alamat situs resmi. Pada kasus dropcatch domain, alamat yang digunakan justru pernah menjadi bagian dari infrastruktur resmi sebuah perangkat lunak. Karena itu, perangkat yang masih mempercayai alamat tersebut dapat menjadi sasaran tanpa disadari penggunanya.

Ancaman serupa pernah terlihat pada kasus Polyfill.io pada 2024. Domain layanan tersebut berpindah kepemilikan dan kemudian digunakan untuk mengarahkan pengunjung ke situs lain yang berbahaya.

Peristiwa ini menunjukkan bahwa pengambilalihan domain lama dapat berdampak luas, terutama ketika alamat tersebut masih terhubung dengan banyak situs atau aplikasi.

Software Lama Bisa Menjadi Celah Keamanan Perusahaan

Ancaman dari perangkat lunak yang sudah ditinggalkan tidak hanya menyasar pengguna rumahan. Perusahaan juga berisiko, terutama jika karyawan menggunakan perangkat pribadi untuk bekerja atau mengakses jaringan perusahaan dari rumah.

Aplikasi lama yang masih terpasang di laptop karyawan dapat terus berkomunikasi dengan domain yang sudah tidak aman. Jika komunikasi tersebut dimanfaatkan penyerang, perangkat kerja berpotensi terinfeksi dan menjadi titik awal untuk mengakses data atau sistem perusahaan.

Masalahnya, perusahaan belum tentu mengetahui seluruh aplikasi yang terpasang pada perangkat karyawan, terlebih jika perangkat tersebut berada di luar jaringan kantor. Kondisi ini membuat pemantauan aktivitas internet dan pengelolaan perangkat menjadi semakin penting.

Langkah Mengurangi Risiko

Untuk mengurangi ancaman dari perangkat lunak lama dan infrastruktur internet yang terbengkalai, pengguna maupun perusahaan dapat menerapkan beberapa langkah berikut:

Hapus aplikasi yang sudah tidak digunakan. Perangkat lunak yang tidak lagi diperlukan sebaiknya dihapus, terutama jika pengembangannya telah berhenti dan tidak tersedia pembaruan keamanan.
Periksa aplikasi yang berjalan di latar belakang. Beberapa program tetap aktif meskipun jarang digunakan. Periksa layanan, proses otomatis, dan mekanisme pembaruan yang masih berjalan pada perangkat.
Gunakan perangkat lunak dari sumber tepercaya. Unduh aplikasi melalui situs resmi atau toko aplikasi terpercaya. Hindari memasang program dari tautan yang tidak jelas asal-usulnya.
Pastikan mekanisme pembaruan aman. Pembaruan perangkat lunak seharusnya menggunakan koneksi terenkripsi dan memverifikasi tanda tangan digital untuk memastikan berkas berasal dari pengembang yang sah.
Pantau koneksi jaringan. Perusahaan perlu memantau domain yang diakses perangkat karyawan, termasuk perangkat yang digunakan untuk bekerja dari rumah. Aktivitas komunikasi dengan domain yang tidak dikenal atau memiliki reputasi buruk perlu diperiksa lebih lanjut.
Terapkan pengelolaan perangkat secara menyeluruh. Inventarisasi aplikasi dan perangkat yang digunakan karyawan, termasuk perangkat pribadi yang diizinkan untuk mengakses sistem perusahaan.

Kasus Time4Popcorn menjadi pengingat bahwa perangkat lunak yang sudah lama ditinggalkan tidak selalu berhenti menimbulkan risiko. Komponen kecil seperti updater yang masih berjalan dapat menjadi jalur masuk bagi penyerang jika infrastruktur yang digunakannya tidak lagi dikelola.

Karena itu, keamanan perangkat tidak cukup hanya dengan memasang antivirus dan memperbarui aplikasi yang masih digunakan. Pengguna dan perusahaan juga perlu memperhatikan perangkat lunak lama, layanan yang terlupakan, serta koneksi internet yang te