Исследователи компании Eye Security отключили механизм обновления заброшенного форка Popcorn Time и взяли под свой контроль используемые им домены. По данным компании, несколько миллионов систем подключались к этим адресам, что создавало риск манипулирования трафиком.
Popcorn Time — это клиент BitTorrent, который позволял смотреть фильмы, скачанные из интернета. Очень популярный проект был заброшен в 2014 году. Легальная альтернатива готовится с начала 2025 года. Уязвимость, на которую обратила внимание Eye Security, касается Time4Popcorn — форка оригинального приложения, распространявшегося под названием Popcorn Time.
Eye Security обнаружила, что эта программа обновления, оставшаяся активной, обращалась к своим удалённым серверам по HTTP — незашифрованному протоколу связи. Несколько доменов, использовавшихся для этих обновлений, истекли, в то время как другие принадлежат третьим лицам и просто «припаркованы», то есть находятся в режиме ожидания без собственного содержимого.
Миллионы машин под угрозой
Программа запускается в фоновом режиме при старте системы, не имеет подписи кода и загружает, а затем выполняет любой исполняемый файл, предоставленный её доменом. Таким образом, злоумышленник, способный перехватить соединение, мог бы распространить вредоносное обновление, которое было бы выполнено с максимальными привилегиями системы, называемыми «System/root». Уязвимость зарегистрирована под идентификатором CVE-2026-30612.
Зарегистрировав заброшенный домен popcorntimeupd.xyz, Eye Security наблюдала, как миллионы систем подключаются к нему, а также к другим доменам, которые компания также зарегистрировала. Большинство идентифицированных устройств работали под Windows — от 2,5 до 3 миллионов, далее macOS — от 250 000 до 350 000, и Android — менее 200 000.
Исследователи уточнили, что эти подключения поступали от интернет-провайдеров по всему миру, а также из правительственных и военных сетей, а также корпоративных сетей. «Сложно делать однозначные выводы, но мы считаем разумным предположить, что многие из этих систем были бы очень интересны преступникам», — заявляет Eye Security.
Ограниченный удалённый патч
Поскольку проект заброшен, ни один издатель не мог выпустить исправление. Поэтому Eye Security зарегистрировала пятнадцать доменов, не принадлежащих третьим лицам, и распространила обновление, которое полностью отключает неисправный механизм. По данным компании, операция началась в ноябре 2025 года, и к марту 2026 года около 2 миллионов систем получили этот патч, что соответствует снижению на 98% запросов на обновление к её доменам.
Это исправление было передано только системам Windows и macOS. На Android его установка требует действий пользователя, а программа обновления является частью приложения и не может быть отключена отдельно. В конце марта Shadowserver Foundation взяла на себя управление доменами, которые остаются перенаправленными на её серверы, вместе с другими доменами, с которых приложение загружало код JavaScript и которые также были заброшены.
Механизм обновления можно отключить вручную, но Eye Security подчёркивает, что приложение основано на версии Chrome 2014 года без песочницы, и его следует полностью удалить. «Наше обновление лишь отключило программу обновления. Остальная часть приложения не изменилась, поэтому эти риски сохраняются для всех, кто всё ещё использует Popcorn Time», — заявляет компания, заключая: «Наш совет прост: удалите его».
