Popcorn Time: Vulnerabilitatea care expunea milioane
3 min read
Cercetătorii de securitate au reușit să dezactiveze la distanță un mecanism de actualizare vulnerabil în aplicația abandonată Time4Popcorn. Acesta este un fork al clientului BitTorrent Popcorn Time și a închis o falie de securitate care ar fi putut permite atacatorilor să execute cod malițios cu privilegii elevat pe milioane de sisteme.
Vulnerabilitatea și riscul asociat
Vulnerabilitatea, identificată sub codul CVE-2026-30612, afectează actualizatoarele pentru Windows și macOS. Aceste aplicații se conectau la domeniul abandonat popcorntimeupd.xyz printr-un protocol HTTP necriptat.
Riscul consta în faptul că aplicațiile acceptau fișiere executabile fără a verifica semnaturile digitale. Orice persoană care deține controlul asupra domeniului de actualizare putea manipula traficul HTTP și să execute cod ca administrator (SYSTEM) pe Windows sau ca utilizator root pe macOS.
Aplicația Popcorn Time integra descărcările BitTorrent într-o interfață similară cu cea a Netflix, permițând utilizatorilor să consume conținut ilegal direct din aplicație. Deși proiectul inițial a fost abandonat din motive legale, el a fost ulterior relansat ca o aplicație legitimă de streaming de conținut.
Descoperirea și gestionarea riscului de securitate
Cercetătorii de la Eye Security au descoperit această problemă de securitate după ce au înregistrat domeniul popcorntimeupd.xyz. Ei au observat conexiuni de la până la 3 milioane de dispozitive Windows și 350.000 de dispozitive macOS către Time4Popcorn.
Locația utilizatorilor Time4Popcorn a fost variată, incluzând furnizori de internet rezidențial, rețele corporate, guvernamentale și militare. Cu toate acestea, niciun utilizator nu părea să folosească activ aplicația, ceea ce sugerează că aceasta fusese instalată și uitată.
Eye Security a subliniat că, „dacă am fi putut trimite o actualizare, am putea obține execuția de cod pe milioane de sisteme”, adăugând că „impactul ar fi sever dacă acest lucru ar cădea în mâini greșite”. În urma acestei descoperiri, cercetătorii au înregistrat încă 14 domenii asociate serviciului.
Între noiembrie 2025 și martie 2026, Eye Security a utilizat mecanismul de actualizare vulnerabil pentru a oferi cod de remediere care a oprit și dezactivat actualizatorul. Payload-ul acestuia nu a colectat date de host sau telemetrie și nu a șters niciun fișier de pe computerele utilizatorilor, menținând acțiunile în cadrul unui context legal complet.
Eye a explicat că a trebuit să modifice payload-ul în timpul testării pentru a evita produsele antivirus care îl semnalau pentru dezactivarea unui serviciu. După implementarea remediierii, Eye a înregistrat 2 milioane de descărcări ale actualizărilor. Până la 1 martie din anul curent, solicitările către domeniul de actualizare au scăzut cu 99,8%. În urma finalizării cu succes a operațiunii de remediere, proprietatea domeniului a fost cedată organizației non-profit The Shadowserver Foundation.
Riscuri persistente și recomandări pentru utilizatori
În ciuda succesului, cercetătorii au avertizat că riscul nu este eliminat complet pentru utilizatorii aplicației. În primul rând, utilizatorii de Android rămân expuși deoarece instalarea unei actualizări necesită interacțiunea utilizatorului, iar cercetătorii nu au putut dezactiva actualizatorul la distanță pentru platforma mobilă.
În al doilea rând, aplicația Time4Popcorn folosește un motor Chrome serios învechit din 2014, fără protecții de tip sandbox, lucru care ar putea fi exploatat în atacuri. Cea mai bună soluție este ca utilizatorii să elimine complet software-ul de pe sisteme. Este important de menționat că, odată cu obținerea credențialelor valabile de către atacatori, doar 37% din acțiunile lor sunt blocate.
Cercetările ulterioare au arătat că scorurile generale de prevenire pot ascunde ceea ce se întâmplă după accesul inițial. În cadrul Blue Report 2026, care măsoară apărarea tehnică cu tehnică pe baza a 338 de milioane de simulări efectuate în medii de producție ale clienților,
Paul M.
