Diffusé massivement et adopté par la plupart des plateformes spécialisées dans le partage de liens P2P Torrent, le plug-in Torrents Time peut se révéler dangereux selon l'expert en sécurité Andrew Sampson.

Le module qui permet de profiter de la diffusion d'un lien Torrent en direct au sein même de son navigateur serait ainsi truffé de failles de sécurité. Selon l'expert, une simple ligne de code en Javascript suffirait à imposer le téléchargement de n'importe quel type de fichier sur la machine d'un utilisateur, du moment qu'il dispose du plug-in.

Torrents-Time

En d'autres termes, n'importe quel site parcouru avec un navigateur équipé du plug-in pourrait permettre à des pirates d'envoyer des fichiers sur les machines des visiteurs sans leur consentement. D'autres lignes de code permettraient de récupérer des informations sur les fichiers torrents qui sont téléchargés au travers du navigateur.

Pire encore, sur Mac OS X, le plug-in s'installe en mode "Root" ce qui lui donne accès à l'intégralité du système. Globalement, les sites qui déploient Torrents Time seraient particulièrement vulnérables aux attaques de type XSS (Cross Site Scripting).

Des utilisateurs de Reddit mettent en avant le fonctionnement même de Torrents Time, qui se présente avant tout comme un proxy qui s'installe sous la forme de service sur l'ordinateur. Le proxy se concentre sur la recherche des torrents sur d'autres sites et les transforme en flux MP4 lisible dans le navigateur. Les communications sont chiffrées en TLS, mais il apparait que le binaire intègre directement les certificats et les clés privées pour établir les connexions. Diffusées sur GitHub, les clés permettent désormais la mise en place d'attaques de type "man in the middle" qui permettent d'intercepter des données.