Eye Security a dezactivat de la distanță updaterul vulnerabil din Time4Popcorn, o versiune derivată din clientul BitTorrent Popcorn Time, după ce a identificat o breșă ce putea expune milioane de calculatoare la executarea de cod malițios. Problema afecta sistemele Windows și macOS și permitea atacatorilor să obțină privilegii SYSTEM, respectiv root.
Aplicația contacta prin HTTP necriptat domeniul abandonat popcorntimeupd.xyz și accepta fișiere executabile fără să le verifice semnătura digitală. Oricine ar fi controlat domeniul putea modifica traficul de actualizare și trimite programe malițioase către dispozitivele care încă aveau updaterul activ.
Domeniul abandonat a scos la iveală sute de mii de conexiuni
Vulnerabilitatea, înregistrată ca CVE-2026-30612, a fost descoperită după ce cercetătorii Eye Security au înregistrat domeniul folosit de aplicație pentru actualizări. În urma preluării controlului, au observat până la trei milioane de conexiuni de la clienți Windows și 350.000 de la clienți macOS.
Conexiunile proveneau atât de la furnizori rezidențiali de internet, cât și din rețele corporative, guvernamentale și militare. Cercetătorii au precizat însă că nu părea ca utilizatorii să folosească activ aplicația: este posibil ca aceasta să fi rămas instalată și uitată pe sisteme.
Popcorn Time a devenit cunoscut pentru interfața inspirată de Netflix, care integra descărcări BitTorrent și facilita accesarea conținutului piratat. Proiectul inițial a fost abandonat din motive juridice și relansat ulterior ca serviciu legitim de streaming, însă clone precum Time4Popcorn au continuat să atragă milioane de utilizatori sub același nume.
Remedierea a oprit updaterul, nu toate riscurile
Eye Security a folosit mecanismul vulnerabil pentru a distribui codul de remediere, care oprea și dezactiva updaterul. Operațiunea s-a desfășurat între noiembrie 2025 și martie 2026; cercetătorii spun că încărcătura nu a colectat date despre gazde sau telemetrie și nu a șters fișiere de pe calculatoare.
În timpul testării, echipa a fost nevoită să-și modifice codul după ce unele produse antivirus l-au semnalat pentru dezactivarea unui serviciu. Eye Security a raportat două milioane de descărcări ale actualizării, iar până la 1 martie 2026 solicitările către domeniul de update scăzuseră cu 98%.
Ulterior, controlul domeniului a fost transferat organizației nonprofit The Shadowserver Foundation.
Remedierea nu acoperă însă toate platformele și vulnerabilitățile aplicației. Utilizatorii Android rămân expuși, deoarece instalarea unei actualizări necesită intervenția lor, iar cercetătorii nu au putut dezactiva updaterul de la distanță; în plus, Time4Popcorn folosește un motor Chrome din 2014, fără protecții de tip sandbox.
Ce ar trebui să facă utilizatorii și organizațiile din România
Pentru companiile și instituțiile din România și din UE, incidentul arată cum un program abandonat poate rămâne o suprafață de atac ani la rând, inclusiv pe dispozitive conectate la rețele sensibile. Conexiunile observate în rețele guvernamentale și militare nu dovedesc compromiterea acestora, dar justifică verificarea inventarelor software și a stațiilor de lucru.
Utilizatorii ar trebui să dezinstaleze Time4Popcorn, nu doar să se bazeze pe oprirea updaterului, și să verifice dacă aplicația a fost instalată pe alte dispozitive personale. Organizațiile ar trebui să caute aplicația în inventarul endpointurilor, să evalueze sistemele unde a existat și să elimine programele fără suport, mai ales de pe echipamente cu acces la date sau servicii importante.
Cercetătorii avertizează că recomandarea cea mai sigură este ștergerea completă a aplicației. În lipsa actualizărilor de securitate și a izolării browserului, chiar și un updater dezactivat nu înlătură riscul de exploatare prin motorul vechi; prevenția depinde de eliminarea software-ului și de verificarea sistemelor afectate.
