Заброшенная версия Popcorn Time годами держала на миллионах компьютеров механизм, через который можно было незаметно запускать код с максимальными системными правами. Специалисты Eye Security перехватили часть старой инфраструктуры обновлений и отключили обновлятор более чем на двух миллионах систем, прежде чем находкой успели воспользоваться злоумышленники. Без вмешательства старые установки могли стать основой огромного ботнета.
Проблему нашли почти случайно. На одном из компьютеров продолжал работать Updater.exe от Time4Popcorn, старой ветки Popcorn Time, которую многие пользователи установили около десяти лет назад и давно забыли. Программа регулярно пыталась обратиться к popcorntimeupd.xyz, хотя домен уже никто не поддерживал. Исследователи зарегистрировали адрес и сразу увидели около 50 запросов в секунду.
За полгода сервер получил обращения с 3,8 млн разных идентификаторов. Позже выяснилось, что по ним нельзя напрямую считать компьютеры: Windows иногда присваивала один идентификатор множеству машин, а macOS могла менять его на одном устройстве. В итоге исследователи оценили аудиторию уязвимого клиента примерно в 2,5-3 млн компьютеров с Windows и еще 250-350 тысяч устройств с macOS. Запросы приходили в основном из домашних сетей, но среди адресов встречались корпоративные, государственные и военные сети разных стран.
Главная опасность скрывалась в самом обновляторе. Программа спрашивала сервер о новой версии через незашифрованный HTTP. Сервер мог вернуть ссылку на исполняемый файл, после чего клиент скачивал его и запускал без проверки цифровой подписи. В Windows код получал права NT AUTHORITY\SYSTEM, в macOS права root. Пользователю при этом ничего нажимать не требовалось. Уязвимости присвоили номер CVE-2026-30612.
На Android механизм работал иначе. Приложение проверяло обновления только после запуска и просило владельца подтвердить установку APK, поэтому незаметно выполнить код тем же способом было нельзя.
Исправить Time4Popcorn обычным патчем было некому: разработчики давно бросили проект, а часть доменов обновлений освободилась или перешла другим владельцам. Поэтому исследователи воспользовались тем же механизмом, который создавал угрозу. С ноября 2025 года уязвимые клиенты Windows и macOS начали получать небольшой файл, останавливавший старую службу обновлений и запрещавший ей запускаться снова. Файлы пользователей программа не трогала и телеметрию не собирала.
Через месяц обновление получили более миллиона систем, после чего число запросов к контролируемым доменам упало примерно на 90%. К началу марта поток сократился на 98%, а общее число выданных обновлений превысило два миллиона. Затем специалисты прекратили рассылку и передали 15 зарегистрированных ими доменов Shadowserver Foundation, чтобы ими не смогли воспользоваться операторы вредоносных сетей.
Отключение обновлятора не делает старый Time4Popcorn безопасным. Приложение работает на браузерном движке Chrome образца 2014 года с отключенной песочницей, получает часть данных по HTTP и обращается к давно заброшенным доменам. Исследователи даже подготовили демонстрацию запуска calc.exe через JavaScript. Поэтому владельцам старой версии советуют полностью удалить программу. Проект, который использует название Popcorn Time с 2025 года, исследователи отдельно исключили из этой истории.
