Atualizador abandonado do Popcorn Time deixou milhões de computadores expostos

O Popcorn Time, a aplicação baseada em BitTorrent para ver filmes e séries pirateados, foi oficialmente encerrado em 2014. As suas cópias, porém, continuaram a circular. Uma delas, o Time4Popcorn, ainda inclui um atualizador em segundo plano que contacta um conjunto de domínios web que já ninguém mantém — uma fragilidade crítica, agora registada como CVE-2026-30612, com pontuação CVSS de 9.8.

Entre novembro de 2025 e março de 2026, uma empresa de segurança neerlandesa deu um passo invulgar: enviou mais de 2 milhões de atualizações para computadores que não lhe pertenciam, com um único objetivo — desligar esse atualizador.

O que aconteceu

O problema veio à tona durante uma pesquisa de ameaças de rotina, quando um programa chamado Updater.exe, num portátil empresarial, tentava repetidamente ligar-se a um desses domínios. O atualizador confia em tudo o que recebe desses endereços, pelo que quem os controlar pode executar código em todos os computadores que ainda os contactam. Com esse nível de acesso, um atacante poderia instalar ransomware, roubar palavras-passe guardadas ou integrar o equipamento numa botnet. Uma amostra dos sistemas que se ligavam incluía utilizadores domésticos de todo o mundo, bem como computadores em redes governamentais, militares e empresariais — embora os investigadores tenham alertado que é difícil tirar conclusões firmes dessa amostra.

Versões do Time4Popcorn afetadas:

• Windows até à 6.2.1.18, inclusive
• macOS até à 6.2.1.17, inclusive
• Android até à 3.5.0.173, inclusive

Sem um fabricante que publicasse uma correção, os investigadores — depois de obterem aconselhamento jurídico — registaram os domínios abandonados e viraram o atualizador contra si próprio. A atualização que enviaram faz apenas uma coisa: para e desativa o atualizador. Não apaga ficheiros nem recolhe dados. A abordagem lembra a operação contra o Emotet em 2021, quando a polícia neerlandesa enviou uma atualização para os computadores infetados para neutralizar o malware — com a diferença de que os utilizadores do Popcorn Time instalaram a aplicação por vontade própria.

Inicialmente, vários antivírus assinalaram a atualização como maliciosa (com alguma razão, já que desativa um serviço do Windows), o que deixava o atualizador vulnerável ativo nesses sistemas. A atualização foi reformulada até quase nenhum motor a detetar. Em dezembro de 2025, mais de 1 milhão de sistemas tinham sido atualizados e o tráfego para os domínios tinha caído cerca de 90%; no início de março a redução chegava aos 98% e a campanha foi terminada. No final de março, os 15 domínios controlados pelos investigadores foram entregues a uma organização sem fins lucrativos que neutraliza (sinkhole) domínios abandonados e maliciosos.

Porque é importante

O risco não desapareceu por completo. Outros domínios contactados pelo atualizador pertencem a terceiros e nunca foram recuperados, pelo que os computadores que chegam a eles continuam expostos. Para já, não há sinais de que alguém esteja a distribuir código malicioso através deles — parecem estacionados ou à venda — e não foi reportada exploração ativa. Isso pode mudar assim que alguém comprar um desses domínios.

Desativar o atualizador também não torna a aplicação segura. O Popcorn Time corre sobre um motor de navegador de 2014 com a sandbox de segurança desligada, carrega conteúdo por ligações não cifradas e descarrega código de outros domínios abandonados — um caminho que os investigadores demonstraram ser explorável com uma prova de conceito funcional. No Android, o atualizador está integrado na aplicação e não pôde ser desligado remotamente.

O que fazer

• Desinstale o Popcorn Time / Time4Popcorn em todas as plataformas. No Android, remover a aplicação é a única solução.
• Se a desinstalação tiver de esperar, desative o atualizador manualmente:
  • Windows: sc.exe stop "Update service" e sc.exe config "Update service" start= disabled
  • macOS: launchctl unload -w /Library/LaunchDaemons/PT.updd.plist
• Procure-o na sua rede: verifique a presença de Updater.exe no Windows e PT.updd no macOS, bem como tráfego DNS ou web para os domínios do atualizador, usando os indicadores de compromisso publicados.
• Aplique uma lista de aplicações autorizadas para que software não aprovado ou sem suporte não chegue aos equipamentos geridos.

Software abandonado que mantém um canal de atualização ativo é exatamente o tipo de risco silencioso que escapa aos inventários de ativos. O serviço de análise de vulnerabilidades da nossa equipa identifica aplicações desatualizadas e sem suporte em postos de trabalho e servidores, para que problemas como este sejam encontrados e removidos antes que alguém assuma o controlo do canal de atualização.