Time4Popcorn: updater abandonat cu RCE, oprit de cercetători

Cercetătorii de la Eye Security au dezactivat de la distanță mecanismul de actualizare al Time4Popcorn, un fork abandonat al clientului BitTorrent Popcorn Time, distribuit sub același nume. Componenta, încă activă pe milioane de calculatoare, permitea oricui controla domeniul de actualizări să execute cod cu cele mai înalte privilegii din sistem. Vulnerabilitatea este identificată drept CVE-2026-30612. Știrea a fost publicată de BleepingComputer (23 octombrie 2026), The Hacker News (24 octombrie) și SecurityWeek (27 octombrie), toate pe baza cercetării Eye Security.

Cazul este unul clasic: nu există un producător căruia să-i ceri un patch, software-ul a fost instalat și uitat, iar corecția a fost distribuită de cercetători prin chiar aceeași vulnerabilitate.

Defectul: actualizări prin HTTP, fără semnătură

Potrivit BleepingComputer și SecurityWeek, updater-ul Time4Popcorn pentru Windows și macOS:

• pornește în fundal la inițializarea sistemului (SecurityWeek);
• își contactează domeniile prin HTTP necriptat, printre care popcorntimeupd.xyz;
• descarcă și rulează orice executabil primește, fără să verifice semnătura digitală;
• îl rulează ca SYSTEM pe Windows și ca root pe macOS.

Multe domenii de actualizare fuseseră lăsate să expire, iar altele aparțineau unor terți și erau parcate (SecurityWeek). Cine înregistra unul dintre aceste domenii sau putea manipula traficul HTTP pe traseu putea deci livra o „actualizare” arbitrară și obține execuție de cod la distanță cu privilegii maxime. Titlul The Hacker News arată riscul concret: un parc atât de mare de mașini controlabile dintr-un singur punct este material ideal pentru un botnet.

Tehnici MITRE ATT&CK relevante (clasificarea noastră): T1583.001 (achiziția de domenii, aici abandonate), T1557 (adversary-in-the-middle pe traficul HTTP) și T1195.002 (compromiterea distribuției software).

Câte sisteme erau expuse

După ce a înregistrat popcorntimeupd.xyz, Eye Security a văzut milioane de clienți conectându-se. Cifrele raportate:

• Windows: până la 3 milioane (BleepingComputer), între 2,5 și 3 milioane (SecurityWeek);
• macOS: până la 350.000, respectiv între 250.000 și 350.000;
• Android: sub 200.000 (doar SecurityWeek).

Conexiunile veneau mai ales de la furnizori rezidențiali, dar și din rețele corporative, guvernamentale și militare din întreaga lume. Potrivit BleepingComputer, niciunul dintre utilizatori nu părea să folosească efectiv aplicația: semn că fusese instalată și apoi uitată.

Cum a fost oprit updater-ul

Pentru că proiectul nu mai are un responsabil, Eye Security a înregistrat și alte domenii legate de serviciu: 14 pe lângă primul, potrivit BleepingComputer, 15 în total, potrivit SecurityWeek, alegându-le doar pe cele care nu erau deja deținute de terți. Între noiembrie 2025 și martie 2026 a folosit același canal vulnerabil pentru a distribui un cod de remediere care oprește și dezactivează updater-ul:

• circa 2 milioane de descărcări ale actualizării;
• cereri către domenii reduse cu 98% până în martie 2026;
• potrivit BleepingComputer, nicio dată colectată de pe mașini, nicio telemetrie, niciun fișier șters; codul a fost modificat în timpul testelor pentru că unele antivirusuri îl blocau deoarece dezactiva un serviciu.

La sfârșitul lui martie, domeniile au fost preluate de Shadowserver Foundation, care le menține în sinkhole împreună cu alte domenii abandonate de pe care aplicația încărca cod JavaScript (SecurityWeek).

Riscul care rămâne

Operațiunea a oprit doar updater-ul. Rămân deschise aceste puncte:

1. Android: actualizarea necesită intervenția utilizatorului, iar updater-ul face parte din aplicație, așa că nu a putut fi dezactivat de la distanță.
2. Motor de browser din 2014: aplicația este construită pe o versiune de Chrome din 2014, fără sandbox. Potrivit SecurityWeek, Eye Security are deja un proof of concept care pornește calc.exe prin JavaScript.
3. Domeniile JavaScript: astăzi sunt în sinkhole, dar aplicația rămâne construită să încarce cod de pe domenii pe care proiectul nu le mai controlează.

Recomandarea Eye Security, preluată de ambele publicații, este una singură: dezinstalează aplicația.

Impactul pentru companiile europene și italiene

Sursele nu oferă date pe țări, dar confirmă că o parte dintre instalări se află în rețele corporative. Problema tipică este shadow IT: software instalat de un utilizator cu ani în urmă, niciodată inventariat, cu o componentă care rulează cu privilegii de sistem. Pentru entitățile NIS2, cazul privește direct gestionarea activelor și a vulnerabilităților și controlul software-ului autorizat. În sănătate și în instituțiile publice trebuie verificate mai întâi stațiile de lucru comune și dispozitivele personale care accesează rețeaua internă.

Ce să faci acum

1. Caută software-ul: în inventarul stațiilor Windows și macOS caută „Popcorn Time” și „Time4Popcorn”, inclusiv serviciile și procesele pornite la inițializare.
2. Dezinstalează-l, nu te limita la dezactivarea updater-ului: motorul de browser fără sandbox rămâne exploatabil.
3. Verifică jurnalele DNS și ale proxy-ului pentru cereri către popcorntimeupd.xyz și, în general, către domenii legate de Popcorn Time: indică o mașină pe care aplicația este încă instalată. Blochează aceste domenii la perimetru.
4. Android și BYOD: verifică prin gestionarea dispozitivelor mobile dacă aplicația este prezentă și elimin-o; aici updater-ul este încă activ.
5. Previne: folosește controlul aplicațiilor sau liste de software permis pentru a împiedica instalarea programelor neaprobate.
6. Extinde verificarea: caută alte programe care se actualizează prin HTTP fără semnătură sau care depind de domenii expirate; același tipar se aplică mult dincolo de Popcorn Time.

Cum ajută ARXDOME

ARX Sentry colectează de pe calculatoarele Windows și macOS inventarul de software, procese și porturi: ajută la găsirea mașinilor pe care Popcorn Time este încă instalat. ARX Shield arată vulnerabilitățile deschise pentru fiecare mașină și, dacă o stație este suspectă, o izolează de rețea până la verificare.

Ultima actualizare: 27 octombrie 2026