Investigadores da empresa Eye Security desativaram o mecanismo de atualização de um fork abandonado do Popcorn Time e assumiram o controlo dos domínios que este utilizava. Segundo a empresa, vários milhões de sistemas ligavam-se a estes endereços, com risco de manipulação do tráfego.
O Popcorn Time é um cliente BitTorrent que permitia ver filmes descarregados da web. Muito popular, o projeto foi abandonado em 2014. Uma alternativa legal está em preparação desde o início de 2025. A falha visada pela Eye Security diz respeito ao Time4Popcorn, um fork da aplicação original distribuído sob o nome Popcorn Time.
A Eye Security constatou que este programa de atualização, que permaneceu ativo, consultava os seus servidores remotos em HTTP, um protocolo de comunicação não encriptado. Vários domínios utilizados para estas atualizações expiraram, enquanto outros pertencem a terceiros e estão simplesmente estacionados, ou seja, colocados em espera sem conteúdo próprio.
Milhões de máquinas afetadas
O programa inicia-se em segundo plano ao arrancar do sistema, não beneficia de assinatura de código e descarrega e executa qualquer ficheiro executável fornecido pelo seu domínio. Um atacante capaz de intercetar a ligação poderia assim difundir uma atualização maliciosa, que seria executada com os privilégios máximos do sistema, chamados «System/root». A vulnerabilidade está referenciada sob o identificador CVE-2026-30612.
Após ter registado o domínio abandonado popcorntimeupd.xyz, a Eye Security observou milhões de sistemas a ligarem-se a ele, bem como a outros domínios que a empresa também registou. A maioria dos dispositivos identificados funcionava com Windows, entre 2,5 e 3 milhões, seguido do macOS, entre 250 000 e 350 000, e do Android, menos de 200 000.
Os investigadores precisaram que estas ligações provinham de fornecedores de acesso à Internet distribuídos por todo o mundo, mas também de redes governamentais e militares, bem como de redes empresariais. «É difícil tirar conclusões, mas pensamos que é razoável dizer que criminosos ficariam muito interessados em muitos destes sistemas», indica a Eye Security.
Uma correção remota limitada
O projeto estando abandonado, nenhum editor podia publicar uma correção. A Eye Security registou então quinze domínios não detidos por terceiros e difundiu uma atualização que desativa completamente o mecanismo defeituoso. Segundo a empresa, a operação começou em novembro de 2025 e, em março de 2026, cerca de 2 milhões de sistemas tinham recebido esta correção, o que corresponde a uma descida de 98% dos pedidos de atualização para os seus domínios.
Esta correção só foi transmitida aos sistemas Windows e macOS. No Android, a sua instalação requer uma ação do utilizador, e o programa de atualização faz parte da aplicação, sem poder ser desativado separadamente. No final de março, a Shadowserver Foundation retomou os domínios, que permanecem redirecionados para os seus servidores, com outros domínios dos quais a aplicação carregava código JavaScript e que também estavam abandonados.
O mecanismo de atualização pode ser desativado manualmente, mas a Eye Security salienta que a aplicação assenta numa versão do Chrome datada de 2014, sem sandbox, e que deveria ser completamente removida. «A nossa atualização apenas desativou o programa de atualização. O resto da aplicação não mudou, portanto estes riscos permanecem para quem ainda utiliza o Popcorn Time», indica a empresa, que conclui: «O nosso conselho é simples: desinstale-o.»
