Badacze z firmy Eye Security wyłączyli mechanizm aktualizacji porzuconego forka Popcorn Time i przejęli kontrolę nad domenami, z których korzystał. Według firmy, kilka milionów systemów łączyło się z tymi adresami, co stwarzało ryzyko manipulacji ruchem.
Popcorn Time to klient BitTorrent, który umożliwiał oglądanie filmów pobieranych z internetu. Bardzo popularny projekt został porzucony w 2014 roku. Od początku 2025 roku trwają prace nad legalną alternatywą. Luka, którą zajęła się Eye Security, dotyczy Time4Popcorn, forka oryginalnej aplikacji dystrybuowanego pod nazwą Popcorn Time.
Eye Security ustaliła, że ten nadal aktywny program aktualizacyjny komunikował się ze swoimi zdalnymi serwerami za pomocą HTTP, nieszyfrowanego protokołu komunikacyjnego. Kilka domen używanych do tych aktualizacji wygasło, podczas gdy inne należą do osób trzecich i są po prostu zaparkowane, czyli pozostają w gotowości bez własnej treści.
Miliony zagrożonych maszyn
Program uruchamia się w tle przy starcie systemu, nie posiada podpisu kodu oraz pobiera i wykonuje każdy plik wykonywalny dostarczony przez swoją domenę. Atakujący zdolny do przechwycenia połączenia mógłby więc rozesłać złośliwą aktualizację, która zostałaby wykonana z maksymalnymi uprawnieniami systemowymi, zwanymi „System/root ». Luka jest oznaczona identyfikatorem CVE-2026-30612.
Po zarejestrowaniu porzuconej domeny popcorntimeupd.xyz, Eye Security zaobserwowała miliony systemów łączących się z nią, a także z innymi domenami, które firma również zarejestrowała. Większość zidentyfikowanych urządzeń działała pod systemem Windows, od 2,5 do 3 milionów, przed macOS, od 250 000 do 350 000, oraz Androidem, poniżej 200 000.
Badacze wyjaśnili, że połączenia te pochodziły od dostawców usług internetowych z całego świata, ale także z sieci rządowych i wojskowych oraz sieci korporacyjnych. „Trudno wyciągać z tego ostateczne wnioski, ale uważamy, że można rozsądnie stwierdzić, że przestępcy byliby bardzo zainteresowani wieloma z tych systemów » – wskazuje Eye Security.
Ograniczona zdalna poprawka
Ponieważ projekt został porzucony, żaden wydawca nie mógł opublikować poprawki. Eye Security zarejestrowała więc piętnaście domen niebędących własnością osób trzecich i rozesłała aktualizację, która całkowicie wyłącza wadliwy mechanizm. Według firmy operacja rozpoczęła się w listopadzie 2025 roku, a do marca 2026 roku około 2 miliony systemów otrzymało tę poprawkę, co odpowiada spadkowi o 98% żądań aktualizacji kierowanych do jej domen.
Ta poprawka została przesłana tylko do systemów Windows i macOS. W przypadku Androida jej instalacja wymaga działania użytkownika, a program aktualizacyjny jest częścią aplikacji i nie może być wyłączony osobno. Pod koniec marca Shadowserver Foundation przejęła domeny, które pozostają przekierowane na jej serwery, wraz z innymi domenami, z których aplikacja ładowała kod JavaScript i które również były porzucone.
Mechanizm aktualizacji można wyłączyć ręcznie, ale Eye Security podkreśla, że aplikacja opiera się na wersji Chrome z 2014 roku, bez sandboxa, i powinna zostać całkowicie usunięta. „Nasza aktualizacja tylko wyłączyła program aktualizacyjny. Reszta aplikacji się nie zmieniła, więc te zagrożenia nadal istnieją dla każdego, kto nadal używa Popcorn Time » – wskazuje firma, która podsumowuje: „Nasza rada jest prosta: odinstalujcie go. »
