Updater-ul abandonat al Popcorn Time a lăsat milioane de PC-uri expuse

Popcorn Time, aplicația bazată pe BitTorrent pentru filme și seriale piratate, a fost închisă oficial încă din 2014. Copiile ei însă au continuat să circule. Una dintre ele, Time4Popcorn, vine și astăzi cu un updater care rulează în fundal și contactează un set de domenii web pe care nu le mai întreține nimeni — o slăbiciune critică, înregistrată acum ca CVE-2026-30612, cu scor CVSS 9.8.

Între noiembrie 2025 și martie 2026, o companie olandeză de securitate a făcut un pas neobișnuit: a trimis peste 2 milioane de actualizări către calculatoare care nu îi aparțineau, cu un singur scop — să oprească acest updater.

Ce s-a întâmplat

Problema a ieșit la iveală în timpul unei vânători de amenințări de rutină, când un program numit Updater.exe, aflat pe un laptop de firmă, încerca în mod repetat să contacteze unul dintre aceste domenii. Updater-ul are încredere în orice primește de la aceste adrese, așa că cine le controlează poate rula cod pe fiecare calculator care încă le apelează. Cu un asemenea acces, un atacator ar putea instala ransomware, fura parolele salvate sau înrola dispozitivul într-un botnet. Un eșantion al sistemelor care se conectau a inclus utilizatori casnici din întreaga lume, dar și calculatoare din rețele guvernamentale, militare și corporative — deși cercetătorii au avertizat că din acest eșantion e greu de tras concluzii ferme.

Versiunile Time4Popcorn afectate:

• Windows până la 6.2.1.18 inclusiv
• macOS până la 6.2.1.17 inclusiv
• Android până la 3.5.0.173 inclusiv

Fără un producător care să publice o corecție, cercetătorii — după ce au cerut consultanță juridică — au înregistrat domeniile abandonate și au întors updater-ul împotriva lui însuși. Actualizarea lor face un singur lucru: oprește și dezactivează updater-ul. Nu șterge fișiere și nu colectează date. Metoda amintește de operațiunea împotriva Emotet din 2021, când poliția olandeză a trimis o actualizare calculatoarelor infectate pentru a neutraliza malware-ul — cu diferența că utilizatorii Popcorn Time au instalat singuri aplicația.

La început, mai multe antivirusuri au marcat actualizarea drept malițioasă (pe bună dreptate, de vreme ce dezactivează un serviciu Windows), ceea ce a lăsat updater-ul vulnerabil activ pe acele sisteme. Actualizarea a fost refăcută până când aproape niciun motor nu a mai semnalat-o. Până în decembrie 2025, peste 1 milion de sisteme fuseseră actualizate, iar traficul către domenii scăzuse cu circa 90%; la începutul lui martie scăderea ajunsese la 98%, iar campania a fost oprită. La sfârșitul lui martie, cele 15 domenii controlate de cercetători au fost predate unei organizații non-profit care preia domenii abandonate și malițioase (sinkhole).

De ce contează

Riscul nu a dispărut complet. Alte domenii pe care updater-ul le contactează aparțin unor terți și nu au fost preluate, așa că sistemele care ajung la ele rămân expuse. Deocamdată nu există semne că cineva distribuie cod malițios prin ele — par parcate sau scoase la vânzare — și vulnerabilitatea nu a fost raportată ca exploatată activ. Situația se poate schimba însă în momentul în care cineva cumpără unul dintre aceste domenii.

Nici dezactivarea updater-ului nu face aplicația sigură. Popcorn Time rulează pe un motor de browser din 2014, cu sandbox-ul de securitate dezactivat, încarcă conținut prin conexiuni necriptate și preia cod de pe alte domenii abandonate — o cale pe care cercetătorii au demonstrat-o exploatabilă cu un proof of concept funcțional. Pe Android, updater-ul este integrat în aplicație și nu a putut fi oprit de la distanță.

Ce trebuie făcut

• Dezinstalați Popcorn Time / Time4Popcorn pe toate platformele. Pe Android, eliminarea aplicației este singura soluție.
• Dacă dezinstalarea mai trebuie amânată, dezactivați manual updater-ul:
  • Windows: sc.exe stop "Update service" și sc.exe config "Update service" start= disabled
  • macOS: launchctl unload -w /Library/LaunchDaemons/PT.updd.plist
• Căutați-l în rețea: verificați prezența Updater.exe pe Windows și PT.updd pe macOS, precum și traficul DNS sau web către domeniile updater-ului, folosind indicatorii de compromitere publicați.
• Impuneți o listă de aplicații permise (allow-list), astfel încât software-ul neaprobat sau ieșit din suport să nu ajungă pe stațiile administrate.

Software-ul abandonat care are încă un canal de actualizare activ este exact genul de risc tăcut care scapă inventarelor de active. Serviciul de scanare a vulnerabilităților oferit de echipa noastră identifică aplicațiile învechite și nesuportate de pe stații și servere, astfel încât astfel de probleme să fie descoperite și eliminate înainte ca altcineva să preia controlul canalului de actualizare.