Заброшенный апдейтер Popcorn Time открыл миллионы устройств для захвата

Заброшенный механизм обновления Time4Popcorn открыл миллионы устройств для захвата

Исследователи безопасности вмешались для отключения механизма обновления в Time4Popcorn, версии популярного стримингового приложения. Если бы он остался работать в фоновом режиме, злоумышленники могли бы получить контроль над компьютерами под управлением Windows и Mac. Eye Security оценивает, что уязвимый апдейтер присутствовал на миллионах устройств по всему миру, включая 2,5–3 миллиона компьютеров Windows и около 250 000–350 000 Mac.

Time4Popcorn позволял смотреть фильмы и сериалы через BitTorrent

Popcorn Time упростил просмотр фильмов и сериалов через BitTorrent, имитируя интерфейс Netflix. Приложение объединяло процесс поиска торрент-файлов и их открытия в отдельном клиенте в привычный стриминговый интерфейс. Оригинальные разработчики оставили проект вскоре после запуска в 2014 году из-за опасений по поводу нарушения авторских прав. Открытый исходный код позволил другим разработчикам создавать собственные версии, известные как форки. Одной из таких версий стала Time4Popcorn, распространявшаяся также под названием «Popcorn Time». Общее брендинг привел к тому, что пользователи могли установить затронутое программное обеспечение, не видя названия Time4Popcorn.

Уязвимый апдейтер использовал незашифрованные соединения и принимал неподписанные файлы

Time4Popcorn также был заброшен, но его инфраструктура обновлений осталась. Домены, связанные с программным обеспечением, стали доступны для регистрации. Апдейтер Time4Popcorn использовал незашифрованные HTTP-соединения и принимал исполняемые обновления без проверки цифровых подписей. Это создавало уязвимость удаленного выполнения кода, отслеживаемую как CVE-2026-30612. Злоумышленник мог запустить вредоносное ПО на устройстве, не убеждая пользователя смотреть фильм или открывать вложения. На Android апдейтер проверял обновления при открытии приложения, но установка APK требовала одобрения пользователя, что отличалось от фонового захвата контроля на Windows и macOS.

Исследователи отключили апдейтер и передали домены фонду Shadowserver

Eye Security зарегистрировала заброшенный домен обновления и использовала уязвимый механизм для распространения обновления, которое отключало сам апдейтер. На Windows оно останавливало и отключало службу, на macOS — предотвращало запуск процесса обновления. Вмешательство исследователей не удаляло файлы пользователей и не собирало данные. К марту 2026 года Eye Security сообщила о более чем двух миллионах загрузок своего исправления, а запросы на обновления упали на 98%. Позднее 15 контролируемых доменов были переданы некоммерческой организации Shadowserver Foundation. Исследователи не смогли удаленно отключить Android-апдейтер. Настольное приложение содержало и другие уязвимости, включая устаревший движок Chrome 2014 года и отключенные песочницы.

Удалите приложение и проверьте фоновые компоненты

Пользователям, которые использовали Popcorn Time ранее, следует проверить устройства, на которые оно было установлено. Не следует предполагать, что фоновые компоненты перестали работать после прекращения использования приложения. Необходимо проверить список установленных приложений на наличие Popcorn Time или Time4Popcorn, уделяя особое внимание старым ПК с Windows, Mac и устройствам Android. Для Windows следует проверить, что фоновый апдейтер Updater.exe больше не работает. На macOS компонент PT.updd в /Library/PrivilegedHelperHelperTools/PT.updd и демон запуска PT.updd.plist в /Library/LaunchDaemons/PT.updd.plist должны быть отключены. На Android следует удалить приложение, а не принимать запрос на обновление. Рекомендуется использовать актуальное антивирусное решение для обнаружения и блокировки попыток установки вредоносного ПО.