Onderzoekers van het bedrijf Eye Security hebben het updatemechanisme van een verlaten fork van Popcorn Time uitgeschakeld en de domeinen die het gebruikte onder hun controle gebracht. Volgens het bedrijf verbonden miljoenen systemen zich met deze adressen, met een risico op verkeersmanipulatie.
Popcorn Time is een BitTorrent-client waarmee gedownloade films konden worden bekeken. Het zeer populaire project werd in 2014 stopgezet. Sinds begin 2025 wordt er een legaal alternatief voorbereid. De kwetsbaarheid die Eye Security aanpakte betreft Time4Popcorn, een fork van de originele app die werd gedistribueerd onder de naam Popcorn Time.
Eye Security stelde vast dat dit nog actieve updateprogramma zijn externe servers bevroeg via HTTP, een onversleuteld communicatieprotocol. Verschillende domeinen die voor deze updates werden gebruikt, waren verlopen, terwijl andere aan derden toebehoorden en simpelweg geparkeerd waren, dat wil zeggen in afwachting gezet zonder eigen inhoud.
Miljoenen machines getroffen
Het programma start op de achtergrond bij het opstarten van het systeem, heeft geen codehandtekening en downloadt en voert elk uitvoerbaar bestand uit dat door zijn domein wordt aangeleverd. Een aanvaller die de verbinding kan onderscheppen, zou dus een kwaadaardige update kunnen verspreiden, die zou worden uitgevoerd met de maximale systeemprivileges, genaamd ‘System/root’. De kwetsbaarheid is geregistreerd onder de identifier CVE-2026-30612.
Nadat Eye Security het verlaten domein popcorntimeupd.xyz had geregistreerd, observeerde het miljoenen systemen die er verbinding mee maakten, evenals met andere domeinen die het bedrijf eveneens heeft geregistreerd. De meeste geïdentificeerde apparaten draaiden op Windows, tussen 2,5 en 3 miljoen, gevolgd door macOS, tussen 250.000 en 350.000, en Android, minder dan 200.000.
De onderzoekers preciseerden dat deze verbindingen afkomstig waren van internetproviders wereldwijd, maar ook van overheids- en militaire netwerken, evenals van bedrijfsnetwerken. ‘Het is moeilijk hier conclusies uit te trekken, maar we denken dat het redelijk is om te zeggen dat criminelen zeer geïnteresseerd zouden zijn in veel van deze systemen’, aldus Eye Security.
Een beperkte op afstand uitgevoerde oplossing
Omdat het project verlaten was, kon geen uitgever een patch uitbrengen. Eye Security heeft daarom vijftien domeinen die niet door derden werden beheerd geregistreerd en een update verspreid die het defecte mechanisme volledig uitschakelt. Volgens het bedrijf begon de operatie in november 2025 en hadden in maart 2026 ongeveer 2 miljoen systemen deze oplossing ontvangen, wat overeenkomt met een daling van 98% in de updateverzoeken naar zijn domeinen.
Deze oplossing werd alleen doorgegeven aan Windows- en macOS-systemen. Op Android vereist de installatie een handeling van de gebruiker, en het updateprogramma maakt deel uit van de app, zonder dat het apart kan worden uitgeschakeld. Eind maart heeft de Shadowserver Foundation de domeinen overgenomen, die naar zijn servers blijven doorverwijzen, samen met andere domeinen waar de app JavaScript-code van laadde en die ook verlaten waren.
Het updatemechanisme kan handmatig worden uitgeschakeld, maar Eye Security benadrukt dat de app gebaseerd is op een Chrome-versie uit 2014, zonder sandbox, en dat deze volledig verwijderd zou moeten worden. ‘Onze update heeft alleen het updateprogramma uitgeschakeld. De rest van de app is niet veranderd, dus deze risico’s blijven bestaan voor iedereen die Popcorn Time nog gebruikt’, aldus het bedrijf, dat concludeert: ‘Ons advies is simpel: verwijder het.’
